Gli hacker hanno a disposizione una nuova tecnica per aggirare le protezioni di Windows Defender, l'antimalware di Microsoft incluso in Windows.

Tale tecnica si chiama Illuysion Gap e sfrutta un particolare comportamento di Windows Defender, facendo in modo che il software consideri sicuri anche file che in realtà contengono del pericoloso malware.

Il sistema è stato scoperto da CyberArk, azienda che si occupa di sicurezza, e si basa sull'utilizzo di un server SMB.

Articoli suggeriti:

Defender, spariscono le icone da barra, desktop e menu Start

Bug in Windows Defender rosicchia le prestazioni del PC

Il bug di Windows Defender che intasa l'hard disk

Windows Defender fa piazza pulita della concorrenza

Quando deve analizzare un file eseguibile posto in una condivisione SMB, Windows Defender richiede due copie del file in questione: una viene usata da Windows PE Loader per lanciare il programma e crearne un processo; l'altra viene analizzata da Windows Defender stesso alla ricerca di pericoli.

Il problema sta nel fatto che i server SMB sono in grado di distinguere le due richieste, e pertanto è possibile inviare un file diverso a ogni richiesta: per esempio, si può inviare a Windows PE Loader il file con il malware, mentre a Windows Defender viene consegnato un file innocuo.

In questo modo si può a tutti gli effetti ingannare l'antimalware di Microsoft facendogli credere che un software dannoso sia privo di rischi.

Proposte di lettura:

Falla critica in Windows, Microsoft rilascia una patch di emergenza

Ransomware, Windows 10 ora mette i dati sotto chiave

Microsoft: ''Sì, disabilitiamo gli antivirus. Per il bene degli ute...

Antivirus Microsoft era sfruttabile per installare virus

A peggiorare la situazione c'è il fatto che Microsoft, informata del problema, ha risposto che dal suo punto di vista non si tratta di un problema di sicurezza.

«Grazie per la vostra email» ha scritto lo staff di Microsoft a CyberArk. «In base al vostro rapporto, un attacco per avere successo richiede che l'utente avvii o si fidi del contenuto presente su una condivisione SMB non fidata e supportata da un server personalizzato che possa cambiare il proprio comportamento in base al modo in cui vi si accede. A noi non sembra un problema di sicurezza ma piuttosto una richiesta di aggiunta di funzionalità ("feature request" nell'originale, NdR), che abbiamo girato al gruppo di sviluppo».

Ciò in sostanza significa che, qualora il problema insito nel comportamento di Windows Defender venga preso in considerazione pe runa modifica, ciò avverrà senza l'urgenza che caratterizza gli interventi legati alla sicurezza.

Nel frattempo, la tecnica Illusion Gap potrà essere usata e, anche se la sua particolare modalità di esecuzione probabilmente non la rende una minaccia su larga scala, resta comunque un ulteriore, possibile pericolo da cui gli utenti si dovranno guardare.

CyberArk esprime il proprio punto di vista in maniera più sintetica: «Il compito di Windows Defender è cercare e individuare i file pericolosi. Questa vulnerabilità consente a dei file pericolosi di aggirarlo, per cui Windows Defender non è in grado di eseguire il proprio compito».

Il consiglio dello staff di CyberArk è di affiancare a Windows Defender un ulteriore software antimalware, facendo attenzione a un dettaglio: non è detto che lo stesso comportamento non sia adottato anche da per lo meno alcune delle soluzioni antivirus concorrenti, situazione che l'azienda ancora non ha vagliato ma ritiene possibile.

Qui sotto, due video realizzati da CyberArk per illustrare il funzionamento di Illusion Gap.