Отключаем Windows Defender (+ UAC Bypass, + Повышение до уровня SYSTEM)

[D2]

Windows Defener... как много боли в этом слове. Вероятнее всего, если вы хоть краем уха были связаны с распространением ВПО -- данный антивирус уже успел доставить вам массу неудобств.

​

Имеющий самую обширную облачную базу в мире АВ не мог остаться без внимания крипторов и малварщиков, в интересах каждого из которых было обойти его.​

Самая примитивная мысль, пришедшая каждому -- попробовать снести антивирус под корень. Однако, этому препятствует сама система, так просто не выйдет.​

​

Далее идёт способ со всеми известными "Set-MpPreference". К сожалению, из-за повсеместного использования скрипта -- провернуть данный трюк в реалиях проактивной защиты невозможно.​

... и собственно, всё. На этом заканчивается вся поверхностная информация о способах отключения Дефендера.​

В данной статье я бы хотел рассказать о методе уже известном многим пользователям, однако по сей день не получившем широкую огласку.
Речь пойдет о Privilege Tokens и манипулировании ими в целях отключения Windows Defender.

​

Попутно в статье будут упомянуты ещё две темы, без которых провернуть данный трюк будет невозможно. UAC Bypass для поднятия привилегий, а также повышение с обычного пользователя до NT AUTHORITY\SYSTEM.​

ГЛАВА 1: ПОДГОТОВКА​

Нажмите, чтобы раскрыть...

​

Начнём, как и полагается, с нудной теории. К сожалению, без неё не будет ясна суть происходящего в последствии, поэтому рассказывать постараюсь максимально кратко и на понятном языке.​

​

Токены привилегий - это разрешения, данные системой для процесса.​

К примеру, если у процесса есть токен "SeShutdownPrivilege" - то он в праве выключить ваш компьютер.​

Если ваша программа не будет иметь этого токена – она не сможет производить это действие.​

​

Для проверки файлов Windows Defender использует свои привилегии. К примеру – “SeRestorePlivilege”.​

Из этого мы делаем вывод, что если лишить процесс антивируса разрешения на проверку файлов – он станет бесполезным и не сможет выполнять эту самую проверку.​

​

Любое объяснение станет понятнее, если из сухого текста перевести его в визуализацию.​

Собственно, по этой причине, предлагаю вам Скачать

​