Microsoft Defender的自我保护提升还是不到位啊

显示全部楼层 · 发表于 2021-10-5 01:10:50

在上一个版本更新中，Defender提升了对于TrustedInstaller权限旁路攻击的防护，最近试了一下，的确能够拦截提权后（包括SYSTEM和TrustedInstaller等的完整权限）的杀进程行为（如任务管理器、taskkill指令等）和更改关键设置（如实时保护等）的行为。但仍存在在正常系统运行时可以较容易关闭防护的方法。

方法如下：
（以下方法可以关闭开启完全防护下的Defender，期间不会触发任何警报←最后提示服务已终止的提示不算）
1.使用NSudo工具（该工具疑似已被各类恶意软件广泛利用）在TrustedInstaller（可以选择性启用完整特权）权限下，运行任务管理器（taskmgr）
2.转到“服务”项，下拉找到WinDefend服务和WdNisSvc服务，右键停止即可终止Defender服务
（以下方式可以部分终止Defender）
1.使用NSudo得到提权后的cmd
2.使用net stop指令，可以停掉NisSrv.exe的服务，但WinDefend会报告威胁无法停止（实时保护关闭情况下可以）

各位大佬能有谁帮忙把这个漏洞提交给微软一下吗？我这边不知道如何提交

PS：测试过程中发现的其他问题：目前已测试管理员权限往上都可以挂起/暂停微软的恶意软件保护服务，这可能会导致不接触磁盘的无文件威胁逃逸从而造成危害
未经测试但很令我担心的情况：sc delete指令可能同样也会在TI权限下删除恶意软件保护服务，还请各位立即提交这些漏洞（bug）

显示全部楼层 · 发表于 2021-10-5 16:08:23

用win+f截图帮你反馈了

显示全部楼层 · 发表于 2021-10-6 10:39:05

我认识个微软工程师，我帮你反馈了

显示全部楼层 · 发表于 2021-10-8 16:09:48

感觉它老是不太自信，总是给其他杀软让位

[技术探讨] Microsoft Defender的自我保护提升还是不到位啊

评分

评分

评分