Kaspersky, Avast, Microsoft ответили на блок антивирусов через Safe Mode

Kaspersky, Avast, Microsoft ответили на блок антивирусов через Safe Mode

Kaspersky, Avast, Microsoft ответили на блок антивирусов через Safe Mode

Обнаружен способ дистанционного отключения антивирусов на Windows с использованием режима безопасного запуска. Microsoft не считает находку Роберто Франческетти (Roberto Franceschetti) уязвимостью, так как проведение атаки требует наличия прав администратора.

Автор находки, напротив, уверен, что разработчики Windows допустили ошибку, поэтому он опубликовал результаты исследования и PoC-коды для деактивации Microsoft Defender, а также антивирусных продуктов Avast, Bitdefender, F-Secure и Kaspersky.

По словам Франческетти, написанные им bat-скрипты можно запустить как локально, так и удаленно. В обоих случаях они работают одинаково: инициируют перезагрузку Windows в безопасном режиме и переименовывают папку антивируса до запуска ассоциированной службы.

Для смены имени папок защитных решений в системе создается служба Windows NT, способная работать в безопасном режиме. Поскольку в этом случае ОС при старте блокирует большинство сторонних и не критичных для ее работы сервисов, исследователю пришлось обеспечить запуск своей службы добавлением записи в раздел реестра HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal.

Созданный Франческетти эксплойт с успехом отработал на Windows 10 и Windows Server 2016 с такой защитой, как Defender, Avast и F-Secure. Антивирусы Kaspersky и Bitdefender смогли воспрепятствовать завершению PoC-сценария, так как в них предусмотрена защита от несанкционированного вмешательства, и соответствующие скрипты пришлось немного изменить.

 

Провести такую атаку на Windows без повышенных привилегий невозможно, однако исследователь не преминул отметить, что на многих домашних ПК вход осуществляется из-под аккаунта администратора. В корпоративном окружении подобный эксплойт более опасен: если ряд служащих имеет админ-доступ ко всем рабочим станциям или серверу компании, достаточно убедить одного из них запустить вредоносный bat-файл, и весь парк останется без антивирусной защиты.

В Microsoft отказались признавать PoC-атаку Франческетти угрозой безопасности и не планируют что-либо исправлять. Производители антивирусов, по мнению исследователя, мало чем могут помочь: корень зла кроется в Windows, а не их решениях. Тем не менее, некоторые из названных ИБ-вендоров собираются принять меры для предотвращения атак по предложенному сценарию — в частности, о таком намерении заявили Avast и  «Лаборатория Касперского».

В F-Secure уповают на EDR-зашиту (Endpoint Detection and Response, система обнаружения целевых атак на конечных точках сети). Bitdefender, как и Microsoft, не считает нужным реагировать на находку, так как та «не является уязвимостью либо непредусмотренным поведением».

Предполагаемый ботовод IcedID инсценировал свою смерть — не помогло

Украинец, разыскиваемый ФБР по делу о распространении трояна IcedID, попытался избежать экстрадиции в США, подкупив полицейских, чтобы те помогли ему попасть в списки умерших. Трюк сработал, но ненадолго.

Как пишет Cybernews со ссылкой на украинский Реестр исполнительных производств, хитрец допустил ошибку: после регистрации смерти киевским ЗАГС (по подложным документам) он остался в Ужгороде, по месту постоянной прописки, и в итоге был пойман.

Как выяснилось, оборотням в погонах удалось выдать за благодетеля безвестный труп, подменив идентификационные данные. Перед этим заказчик предусмотрительно переписал все свое имущество на родственников и знакомых.

Его опасения были не напрасны: через месяц стало известно об успехе Operation Endgame, очередного международного похода против ботнетов, созданных на основе особо агрессивных зловредов, в том числе банковского трояна IcedID.

Поиск подозреваемого после его мнимой смерти был прекращен, однако украинец в итоге чем-то привлек внимание правоохраны. Дело было вновь открыто, к повторному изучению свидетельств, раздобытых Интерполом и ФБР, были привлечены сторонние криминалисты и аналитики, и в итоге следствие пришло к выводу, что фигурант жив.

Триумфальное задержание произошло в конце 2025 года, однако обманщик даже тогда попытался выдать себя за другое лицо, предъявив фальшивые документы.

На его дом, автомобили и парковки наложен арест. Ввиду вероятности побега подозреваемого суд определил размер залога как $9,3 миллиона.

RSS: Новости на портале Anti-Malware.ru