Defendnot è il malware che disattiva Microsoft Defender con un antivirus fantoccio

"Defendnot" è il nome di uno strumento,  realizzato dal ricercatore es3n1n, che riesce a disattivare Microsoft Defender sui dispositivi Windows operando la registrazione di un antivirus fittizio, anche quando non è installato alcun software antivirus reale.

La tecnica sviluppata da es3n1n sfrutta un'API non documentata di Windows Security Center che è utilizzata dagli antivirus per comunicare al sitema operativo di essere attivi e di assumersi la "responsabilità" della protezione in tempo reale del dispositivo. La registrazione di un antivirus in Windows innesca legittimamente la disattivazione automatica di Defender per evitare conflitti derivanti dall’esecuzione simultanea di più soluzioni di sicurezza sullo stesso sistema. Defendnot, come facilmente si può immaginare, abusa di questa API registrando un finto antivirus che però riesce a superare tutti i controlli di validazione messi in campo da Windows.

es3n1n ha sviluppato Defendnot sulla base di un progetto precedente chiamato no-defender, che faceva uso di codice di un antivirus di terze parti per simulare la registrazione con WSC. no-defender era stato condiviso su GitHub e poi rimosso a seguito di una richiesta da parte del fornitore dell'antivirus originale per violazione del Digital Millennium Copyright Act. Defendnot fa uso invece di una DDL antivirus "dummy" senza nessun riferimento a codice proprietario, implementando da zero le funzionalità desiderate ed evitando problemi di violazione di diritto d'autore.

L'API Windows Security Center è protetta da una serie di misure come Protected Process Light, il controllo sulle firme digitali e altri meccanismi che assicurino la legittimità delle richieste. Defendnot riesce però ad aggirare questi controlli iniettando la propria DLL nel processo di sistema Taskmgr.exe, e da lì riesce a registrare il finto antivirus utilizzando un nome fasullo.

La registrazione causa l'immediata disattivazione di Windows Defender, con il sistema che resta di conseguenza completamente sprovvisto di protezione attiva. Lo strumento include un loader che carica i dati di configurazione da un file ctx.bin e permette in questo modo di impostare il nome dell’antivirus, disabilitare la registrazione e attivare il logging dettagliato.

Defendnot è inoltre in grado di mantenere persistenza grazie alla creazione di un'attività nel Task Scheduler di Windows per potersi avviare automaticamente ad ogni accesso utente. Lo strumento, che di fatto è considerato come un progetto di ricerca, mostra la possibilità di manipolare funzionalità di sistema legittime e "fidate" per riuscire a disattivare meccanismi di sicurezza.

Microsoft Defender sembra ora capace di rilevare e mettere in quarantena Defendnot.