admin 微软Defender、Avast、AVG被曝出漏洞，诱导Windows永久删除用户文件
12 月 12 日消息，SafeBreach 安全研究员 Yair 最近发布了一个概念验证程序 (POC)，展示了如何诱使安全防护软件擦除或永久删除您 PC 上的无害文件。
据介绍，POC 被称为“合气道”，也就是同名武术中的精要所在 ——“以柔克刚”“借劲使力”，用对手的攻击手段击败对手。
目前微软已经承认 Defender 中存在漏洞并且宣布已修补。
不过其他几大杀软，如 Avast、AVG 和 TrendMicro 等也被证实会受到此漏洞的影响，而 McAfee 和 BitDefender 等产品则不受影响。
Yair 解释称，POC 基于一种的检查时间到使用时间 (TOCTOU) 的漏洞。
当杀软检测到这种文件时会将其确定为恶意文件，然后将其删除。使用 TOCTOU 的 POC 可以在杀软检测到恶意软件后导入备用路径，然后致使电脑删除你的合法文件而不仅是恶意文件，甚至 Windows 系统文件。
下面简要描述了这些步骤：
在 C:tempWindowsSystem32driversndis.sys 中创建带有恶意文件的特殊路径
固定其路径并强制 EDR 或 AV 将删除操作推迟到下一次重启之后
删除 C:temp 目录
创建连接 C:temp → C:
重启
有趣的是，对于 Defender 和 Defender for Endpoint，Yair 注意到 Defender 没有删除文件而是直接删除了文件夹。微软已为此漏洞分配了 ID“ CVE-2022-37971 ”的编号，并已在最新的 Microsoft Malware Protection Engine 版本 1.1.19700.2 中修复。
同时，TrendMicro、Avast 和 AVG 也发布了各自产品的补丁：
TrendMicro Apex One：修补程序 23573 和 Patch_b11136
Avast 和 AVG 杀毒软件：22.10
1. 本站所有下载资源均不包含技术支持和安装服务！需要讨论请进群！
2. 分享目的仅供大家学习和交流，请不要用于商业用途！
3. 如果你也有好源码或者教程，可以到审核区发布，分享有KR奖励和额外收入!
4. 如有链接无法下载、失效或广告，请联系管理员处理！
5. 本站无法保证资源或破解时效性，如某些授权码过期等问题，恕不在修复范围内。
6. 本站资源售价只是赞助，收取费用仅维持本站的日常运营所需！故不接受任何形式的退款，如确认资源确有问题的，会补给相应KR以供再次购买。
7. 53Kr源码暂未发现后门代码，但无法保证100%安全，推荐检测方法：上传到 https://www.virustotal.com/在线查看是否有恶意代码以及其他有后门嫌疑的代码。
8. 在本站下载的源码我还是不建议正式使用，有特别喜欢的可以去程序官方购买。
53kr资源站仅提供学习的平台，所有资料均来自于网络，版权归原创者所有！本站不提供任何保证，并不承担任何法律责任，如果对您的版权或者利益造成损害，请提供相应的资质证明，我们将于3个工作日内予以删除。
53kr资源分享 » 微软Defender、Avast、AVG被曝出漏洞，诱导Windows永久删除用户文件