Windows Defender permitiendo la ejecución de malware en ciertas condiciones

Cuando hace poco más de un mes publiqué el post sobre Detalles que se convierten en un ataque de ingeniería social comenté al final del mismo que el ejemplo que había realizado probablemente no funcionaría debido a que la mayoría de antivirus detectaban los payloads generados por SET. Curiosamente, unos días después me instalé una máquina virtual con Windows 8.1 y descubrí que podía ejecutar ese payload sin que Windows Defender lo bloqueara.

Según Microsoft, Windows Defender dejaba de ser simplemente un antimalware para convertirse en antivirus en Windows 8, dejando así de existir el producto Microsoft Security Essentials para Windows 8. Sin embargo, se ve que no está muy púlido ya que en Windows 7 con Microsoft Security Essentials este problema no ocurre, únicamente en Windows 8.1 (supongo que Windows 8 también) con Windows Defender.

Antes de entrar a detallar el proceso, el escenario era el siguiente:

• Host OS: Debian Wheezy + backports.
• Guest OSes: Windows 8.1, Kali.
• Virtualización: VirtualBox.
• Malware: Windows Shell Reverse TCP generada con SET.
• Protección: built-in Windows 8.1 (Windows Defender, firewall, UAC).
• Lugar vulnerable: carpeta compartida de VirtualBox.

Ahora sí, vamos al lío. Lo primero que hay que hacer es generar el payload utilizando SET, para ello se ejecuta setoolkit en Kali y se eligen las opciones 1 > 4 > 1 > 4, rellenando los datos que se vayan pidiendo como la IP y puerto del listener. Una vez creado el payload.exe, se coloca en la carpeta compartida de VirtualBox, carpeta que deberá estar montada tanto en Kali como en Windows 8.1. Ahora se accede a esta carpeta en la máquina virtual de Windows 8.1, y se observa como el malware sigue ahí. Se ejecuta, y voila! Windows Defender detecta que se ha encontrado malware y lo acaba eliminando, sin embargo, no impide su ejecución, por lo que se obtiene una shell en este equipo. NOTA: el único sitio vulnerable es la carpeta compartida. Si se mueve el ejecutable a cualquier otro sitio, si que es bloqueado correctamente.

A continuación un video PoC (si, ya sé que mi pronunciación es lo peor...):

Como comenté anteriormente, probé lo mismo en una máquina virtual con Windows 7 y MSE, pero aquí si que se bloqueaba la ejecución del malware. También probé a realizar lo mismo cambiando el Host OS por un Windows 8.1, escenario en el que también se bloquea la ejecución (tanto en el host, como en el guest W8.1). Por lo tanto, parece que para aprovecharse de este bug el escenario es muy limitado y posiblemente no exista una aplicación real para dicho fallo.

Desde que detecté el problema me puse en contacto con el Microsoft Security Response Center, explicándoles como reproducir la vulnerabilidad y enseñándoles el video. Tras un mes de investigación, finalmente han determinado que no se trata de una vulnerabilidad de seguridad ya que para su explotación debe existir cierta componente de ingeniería social que engañe al usuario, y eso viola la primera ley inmutable de seguridad. Aún así, el coordinador del caso me informa de que ha pasado el informe al equipo de Windows Defender para que consideren un fix para próximas versiones.

Artículo cortesía de Ayoze Fernández (@SecurityEffect)

Etiquetas: contribuciones , ingenieria social , malware , windows , windows defender