Están aprovechando las exclusiones de Microsoft Defender Antivirus para evitar que los archivos maliciosos sean detectados en los análisis de seguridad rutinarios. En lugar de desactivar la protección por completo, los atacantes mantienen el antivirus activo pero crean brechas en carpetas específicas y tipos de archivos seleccionados. Esta técnica de evasión ya es conocida y requiere de privilegios de administrador o superiores para ser ejecutada.

Están abusando de las exclusiones del Antivirus de Microsoft Defender para mantener los archivos maliciosos fuera de los escaneos de seguridad rutinarios. En lugar de desactivar la protección por completo, los atacantes pueden dejar el antivirus funcionando mientras crean huecos alrededor de las carpetas de preparación de malware y tipos de archivos seleccionados.

Esta es una técnica de evasión establecida, no una nueva familia de malware. Requiere privilegios de administrador o superiores, lo que la convierte en un paso posterior a que los atacantes obtengan el control suficiente.

Informes independientes sobre instaladores falsos de Claude para escritorio muestran cómo las descargas maliciosas pueden provocar cambios en las exclusiones que protegen el malware de acceso remoto. Los investigadores de Huntress identificaron un uso más amplio de esta técnica pasada por alto durante su investigación.

Huntress afirmó en un informe que las exclusiones pueden ofrecer a los atacantes una alternativa más discreta que desactivar el antivirus por completo, mientras la aplicación de seguridad permanece activa.

El informe del 30 de septiembre vincula este comportamiento con GootKit en 2019, WhisperGate en 2022 y Muddled Libra en 2024. No proporciona un recuento de víctimas reportadas, pero resalta una debilidad recurrente: los ajustes de seguridad legítimos pueden convertirse en escondites cuando los atacantes controlan su configuración.

Aabusan de las exclusiones de Microsoft Defender

Defender admite exclusiones para rutas, extensiones de archivo, procesos y direcciones IP. Sus efectos incluyen omitir archivos seleccionados durante los escaneos o excluir el tráfico de red especificado de la inspección.

Para los atacantes, Huntress identificó que las exclusiones de rutas y extensiones son útiles para reducir la visibilidad. Una exclusión de ruta puede proteger un directorio completo en lugar de un solo archivo. Una exclusión de extensión puede eximir archivos que comparten un sufijo particular.

Huntress describe estas categorías como la eliminación del contenido coincidente de los escaneos programados, bajo demanda y en tiempo real, lo que permite que los binarios maliciosos eviten esas comprobaciones.

Los atacantes tienen varias rutas para realizar estos cambios. Los comandos de PowerShell, la Instrumentación de administración de Windows (WMI), las Directivas de grupo y los cambios directos en el registro pueden interactuar con los ajustes de exclusión.

Estos son mecanismos de administración de Windows, por lo que detectar el abuso requiere examinar qué cambió y por qué, en lugar de tratar cada operación administrativa como maliciosa.

Los cambios de PowerShell pasan a través de los componentes de gestión de Windows antes de que el servicio de Defender actualice su configuración del registro. La Directiva de grupo utiliza una ubicación de política separada.

Normalmente, al consultar las exclusiones se devuelven los ajustes de ambas fuentes, lo que significa que, durante las investigaciones en curso, debes tener en cuenta tanto la configuración local del antivirus como las políticas gestionadas centralmente.

La edición directa de la ubicación del registro de las exclusiones propias de Defender está restringida, según el informe. Sin embargo, los atacantes pueden modificar en su lugar la ubicación correspondiente de la Directiva de grupo.

Huntress señala que este cambio de política en particular requiere un reinicio para entrar en vigor, un detalle que importa al reconstruir una intrusión.

Este enfoque también aparece junto a otros métodos de evasión. Los informes sobre ataques de entrega de malware ClickFix documentaron el abuso de exclusiones durante una intrusión que más tarde detuvo Defender por completo, ilustrando cómo los atacantes pueden cambiar de táctica cuando un método resulta insuficiente.

Exclusiones ocultas

Huntress también examinó un ajuste de política que oculta las exclusiones a los administradores locales que las consultan a través de PowerShell.

A pesar de su nombre, el mismo ajuste impedía las consultas realizadas bajo SYSTEM, una cuenta privilegiada de Windows. Esto puede crear la impresión engañosa de que no existen exclusiones cuando la configuración simplemente ha sido ocultada.

Sin embargo, los ajustes no son inaccesibles. Los administradores y los usuarios de SYSTEM aún pueden leer los datos del registro subyacentes directamente. Esta distinción es importante para la respuesta ante incidentes: un resultado vacío de una consulta no debe tratarse como prueba de que los ajustes del antivirus no han sido tocados.

La monitorización del registro proporciona una visión más amplia porque los cambios de exclusión llegan finalmente al registro, independientemente del método de administración utilizado.

Huntress describió la recopilación de esas operaciones y la detección de exclusiones sospechosas, incluyendo exclusiones amplias de unidades y directorios de preparación comúnmente abusados. También monitoriza los cambios en la política que oculta las exclusiones.

Este enfoque conductual complementa las investigaciones sobre servicios comerciales de cifrado de malware, donde los cambios de seguridad pueden revelar actividad que los archivos disfrazados por sí solos podrían no exponer.

Los equipos que revisen una presunta intrusión deben examinar la creación y ocultación de exclusiones en conjunto, en lugar de confiar únicamente en si el antivirus parece estar habilitado.

La fuente no publica dominios maliciosos, direcciones IP o hashes de archivos. La siguiente tabla conserva sus nombres de archivo, rutas y referencias de registro como artefactos de investigación contextual, no como prueba independiente de compromiso.

Los componentes legítimos de Windows y los directorios de ejemplo no deben bloquearse solo porque aparezcan aquí.

Fuentes:
https://cybersecuritynews.com/hackers-abuse-microsoft-defender/