Het lastige voor elke AV is dat er simpelweg lastig onderscheid te maken is tussen malafide software en niet-malafide software.
Voorbeeld, als je als aanvaller controle wil hebben over een systeem, heb je simpel weg een proces nodig dat met het internet communiceert en lokaal commando's uitvoert. Dat is technische gesproken vergelijkbaar met bijvoorbeeld een stuk software dat op internet checkt of er updates zijn en zo ja, die automatisch installeert. Of een tool als AnyDesk dat remote verbindingen toestaat.
Idem met PowerShell, daar zitten genoeg functies is om een bestand te downloaden en direct in het geheugen te laden om te voorkomen dat die bestanden de schijf raken en op basis van een fingerprint het bestand wordt gezien door een AV. Of het aanmaken van een scheduled taks die elke keer bij het starten van een systeem een proces opstart om de hacker weer controle te geven. Heel veel applicaties doen dat out-of-the-box om te checken of er updates zijn.
Hackers weten dit en maken gebruik van dit grijze gebied. Wordt ook wel living of the land genoemd:
https://www.crowdstrike.c...ving-off-the-land-attack/
Er is ook genoeg documentatie om AV's te omzeilen, echt niet alleen defender:
https://www.ired.team/offensive-security/defense-evasion
Zelfs enterprise EDR oplossingen houden dit niet tegen. Ik kan me dan ook niet voorstellen dat consumenten AV's dit wel tegenhouden. Daarnaast, als je local admin bent op je pc, is het eerste dat malware doet, het uitschakelen van een AV voor ze wat gaan doen, of het toevoegen van exclusions om AV te duiken.
Het punt wat ik vooral probeer te maken is dat het beeld dat Defender niet goed is, maar als je betaalt dat het dan een stuk beter is. Het is een heel complex onderwerp als je er verder in gaat duiken. En als ik op websites van AV vendoren kijk, kan ik er niet wijs uit worden wat ze nu extra doen t.o.v. Defender, anders dan mooie marketing termen gebruiken.
[
Voor 10% gewijzigd door
BytePhantomX op 18-02-2025 16:05
]