LinuxParty

Investigadores de seguridad han descubierto una nueva técnica que permite que el malware pase por alto Windows Defender, el software de seguridad estándar que viene incluido con todos los sistemas operativos Windows. La técnica, denominada Illusion Gap, se basa en una mezcla de ingeniería social y el uso de un servidor SMB deshonesto.

El ataque explota una opción del diseño sobre cómo Windows Defender analiza los archivos almacenados en un recurso compartido de  un servidor SMB antes de la ejecución. Para que Illusion Gap funcione, el atacante debe convencer a un usuario de que ejecute un archivo alojado en un servidor SMB malicioso bajo su control. Esto no es tan complejo como suena, ya que un simple archivo de acceso directo es todo lo que se necesita.

Los problemas se producen después de que el usuario hace doble clic en este archivo malicioso. De forma predeterminada, Windows solicitará al servidor SMB una copia del archivo para la tarea de crear el proceso que ejecuta el archivo, mientras que Windows Defender solicitará una copia del archivo para analizarlo. Los servidores SMB pueden distinguir entre estas dos solicitudes, y esto es un problema porque un atacante puede configurar su servidor SMB malintencionado para responder con dos archivos diferentes. El atacante puede enviar un archivo malicioso al cargador de Windows PE y un archivo benigno a Windows Defender. Después de que Windows Defender escanea el archivo limpio y da la aprobación, Windows PE Loader ejecutará el archivo malicioso sin Windows Defender darse cuenta de que son dos cosas diferentes. Microsoft se negó a parchear el error, considerando que es una "solicitud de característica".