Una nueva herramienta denominada «Defendnot» puede desactivar automáticamente Microsoft Defender en dispositivos con sistema operativo Windows, incluso sin la instalación de un antivirus real. El mecanismo utilizado por esta herramienta se basa en una API no documentada del Centro de Seguridad de Windows (WSC), que normalmente se emplea para indicar al sistema que un programa antivirus está instalado y administra la protección en tiempo real.
Funcionamiento mediante registro falso
Cuando se registra un programa antivirus, Windows desactiva automáticamente Microsoft Defender para evitar conflictos entre múltiples aplicaciones de seguridad. La herramienta Defendnot, creada por el investigador es3n1n, abusa de esta API registrando un antivirus falso que cumple con todas las comprobaciones de validación de Windows.
Esta herramienta se basa en un proyecto anterior llamado «no-defender», que utilizaba código de un antivirus de terceros para suplantar el registro en WSC. Sin embargo, este proyecto fue retirado de GitHub tras una solicitud de eliminación por DMCA presentada por el proveedor del software utilizado.
Desarrollo desde cero
Defendnot evita problemas de derechos de autor desarrollando la funcionalidad desde cero mediante una DLL de antivirus ficticia. Normalmente, la API de WSC se protege mediante Protected Process Light (PPL), firmas digitales válidas y otras funciones. Para eludir estos requisitos, Defendnot inyecta su DLL en un proceso del sistema, Taskmgr.exe, firmado y de confianza por Microsoft. Desde ese proceso, puede registrar el antivirus ficticio con un nombre falso.
Configuración y persistencia
Una vez registrado, Microsoft Defender se desactiva automáticamente, dejando sin protección activa el dispositivo. La herramienta también incluye un cargador que envía datos de configuración mediante un archivo ctx.bin y permite configurar el nombre del antivirus, desactivar el registro y habilitar el registro detallado.
Para mayor persistencia, Defendnot crea una ejecución automática a través del Programador de tareas de Windows para que se inicie al iniciar sesión en Windows.
Detección por Microsoft Defender
La herramienta se considera un proyecto de investigación, pero demuestra cómo se pueden manipular las funciones de confianza del sistema para desactivar las funciones de seguridad. Microsoft Defender detecta y pone en cuarentena Defendnot como una detección «Win32/Sabsik.FL.!ml».