В процессе обмена данными между Microsoft Defender для конечных точек (Microsoft Defender for Endpoint, DFE) и его облачной инфраструктурой выявлены серьёзные бреши, которые дают возможность злоумышленникам обходить процедуры проверки подлинности, фальсифицировать информацию, получать доступ к секретным сведениям и даже внедрять вредоносные элементы в пакеты для анализа, сообщает портал Cyber Security News, ссылаясь на исследование специалистов InfoGuard Labs.
Источник изображения: Ed Hardie/unsplash.com
Обнаруженные недостатки демонстрируют сохраняющуюся уязвимость систем обнаружения и реагирования на атаки (EDR), что может существенно ослабить меры по устранению инцидентов, подчёркивает Cyber Security News. В июле 2025 года InfoGuard Labs уведомил Центр реагирования на угрозы Microsoft (MSRC) о найденных проблемах, которые были классифицированы как невысокой критичности, и к октябрю 2025 года официальные исправления так и не были представлены.
Исследование базировалось на более раннем изучении атак на EDR-системы, уделяя особое внимание каналам связи между агентами и облачными сервисами. Путем модификации функции CRYPT32!CertVerifyCertificateChainPolicy, заставляя её постоянно возвращать положительный результат, злоумышленники добились передачи HTTPS-трафика в незашифрованном виде. Схожие корректировки были внедрены в компонент DFE SenseIR.exe для полного перехвата данных, в том числе при загрузке в хранилище Azure Blob.
В результате атакующий может перехватывать команды раньше, чем их получит законный агент. Это открывает возможности для подмены ответов — например, имитации статуса «Уже изолирован» при команде на изоляцию, оставляя устройство доступным, в то время как портал Microsoft Defender отображает его как защищённое.
Формат сериализации, широко применяемый в Microsoft Bond, усложняет ручной анализ, однако для эксплуатации уязвимостей достаточно перехватить и модифицировать легитимные ответы, отмечает Cyber Security News.
Проблема также касается конечных точек /senseir/v1/actions/, используемых для Live Response и Automated Investigations, где токены CloudLR игнорируются и доступны без проверки подлинности, используя исключительно идентификатор машины.
Эта уязвимость дает возможность злоумышленникам расшифровывать полезную нагрузку операций при помощи пользовательских скриптов, задействующих крупные языковые модели для обработки Bond-десериализации, и загружать сконструированные данные в указанные URI Azure BLOB-объектов посредством SAS-токенов, сохраняющих свою активность на протяжении многих месяцев.
После успешного проникновения злоумышленники получают возможность просматривать проверочные пакеты в файловой системе, доступные для чтения всем пользователям, где хранится информация об автозапуске, инсталлированных приложениях и сетевых подключениях. Фальсифицированные загрузки в эти пакеты позволяют внедрять вредоносные файлы, маскирующиеся под безвредные наименования, что вводит в заблуждение аналитиков при проведении проверок.
