Introdução
Defensores do Windows enfrentam uma nova técnica de evasão que permite a atacantes ocultar atividades após obterem acesso de administrador. A técnica explora os links vinculados (bind links) do Windows, um recurso legítimo que redireciona um caminho de arquivo para outro sem alterar o arquivo original no disco. Em vez de substituir um arquivo visível ou modificar o software de segurança, um atacante pode fazer com que um caminho confiável retorne conteúdo malicioso silenciosamente.
Isso cria uma lacuna entre o que um processo executa e o que as ferramentas de endpoint acreditam estar inspecionando. A pesquisa, divulgada pela Bitdefender, indica que o problema afeta sistemas Windows modernos assim que um atacante possui privilégios de administrador local.
O que mudou agora
Os pesquisadores detalharam um método de evasão pós-comprometimento que pode fornecer operadores de ransomware e outros intrusos uma nova rota para reduzir a visibilidade após assumir o controle de um dispositivo Windows. Diferente de uma família de malware independente ou uma campanha de exploração em massa, esta técnica foca na cegueira de ferramentas de segurança.
A técnica pode enfraquecer a detecção de endpoint, controles de aplicação, mecanismos de log e varredura que confiam em um caminho de arquivo como uma identidade confiável. Isso representa um desafio significativo para equipes de SOC que dependem de logs de Sysmon e validação de assinatura para identificar ameaças.
Descoberta e escopo
Os links vinculados são gerenciados pelo driver de filtro Bind do Windows e são comumente usados para recursos de virtualização, incluindo ambientes de contêineres e Sandbox do Windows. Diferente de um link simbólico, um link vinculado é armazenado na memória em vez de como um objeto visível do sistema de arquivos, tornando a enumeração de arquivos normal muito menos útil para identificá-lo.
O método também pode sombrear um arquivo que já existe. Um programa assinado e limpo pode permanecer intocado no disco, enquanto processos que abrem seu caminho recebem um arquivo controlado pelo atacante através da camada de filtro. Essa distinção é central para a técnica de File-Binding dos pesquisadores.
Vetor e exploração
Com o File-Binding, um ator de ameaça pode redirecionar um caminho de DLL confiável para uma biblioteca de substituição que expõe as funções esperadas, mas não realiza verificações de segurança. Em uma demonstração, a abordagem fez com que o PowerShell carregasse um componente AMSI falso, permitindo que scripts parecessem limpos sem alterar o arquivo real do Windows.
Esse mesmo princípio pode afetar sensores EDR em modo de usuário, componentes de rastreamento de eventos e ferramentas forenses que reabrem arquivos posteriormente para análise. A técnica se baseia em preocupações levantadas em relatórios anteriores sobre bypass de EDR via MiniFilter do Windows, onde componentes de sistema de arquivos de kernel também mostraram oportunidades para interromper a visibilidade do endpoint.
Impacto e alcance
A segunda técnica, Process-Binding, aplica o redirecionamento a uma imagem executável. O Windows pode relatar o caminho de origem confiável durante a criação do processo, mesmo que um executável de suporte diferente forneça o código que realmente é executado. Isso pode minar a listagem baseada em caminho, validação de assinatura e painéis de segurança que dependem do nome da imagem relatada.
Equipes de segurança já rastrearam técnicas de bypass de EDR com privilégios baixos que usam mascaramento e caminhos enganosos, mas os links vinculados deslocam a decepção para a própria resolução de arquivos do Windows. Isso significa que ferramentas de segurança podem registrar o nome do programa confiável e o hash do arquivo limpo, em vez do código que foi executado no silo.
Medidas de mitigação recomendadas
O relatório recomenda que os fornecedores de segurança resolvam o arquivo de suporte real em vez de confiar apenas nos caminhos de criação do processo. Eles devem repetir essa validação durante operações de hashamento atrasado, varredura e remediação, e enumerar mapeamentos ativos de link vinculado para identificar redirecionamentos escopados por silo.
As organizações também devem perguntar aos provedores de segurança de endpoint se seus produtos validam a identidade do arquivo de suporte no lançamento e durante verificações posteriores de arquivo. As equipes podem fortalecer as práticas de investigação correlacionando a atividade do processo com a criação de contêineres ou silos, ações administrativas incomuns e outros sinais de evasão de defesa.
Perguntas frequentes
- É necessário um patch do Windows? Atualmente, não há um patch específico para corrigir o comportamento do link vinculado, pois é uma funcionalidade legítima. A mitigação foca em melhorar a visibilidade das ferramentas de segurança.
- Qual o impacto no Sysmon? O Sysmon pode registrar o nome do programa confiável e o hash do arquivo limpo, dificultando a detecção baseada em hash de arquivos maliciosos.
- Como detectar essa técnica? É necessário correlacionar a atividade do processo com a criação de silos e verificar inconsistências entre o caminho relatado e o arquivo real no disco.