Pesquisadores da Huntress detalharam uma técnica em que os invasores não desligam o Microsoft Defender. Em vez disso, criam exclusões que abrem buracos na varredura em volta das pastas onde o malware fica guardado, e a proteção segue aparentemente ativa.
As exclusões são um recurso legítimo do produto. Elas podem ser definidas por caminho, dispensando diretórios inteiros da varredura, ou por extensão, dispensando arquivos conforme o sufixo.
A alteração entra por vários caminhos: comandos do PowerShell, a instrumentação de gerenciamento do Windows, política de grupo ou escrita direta no registro.
A técnica exige privilégio de administrador, o que a coloca depois do comprometimento inicial. Ela não serve para invadir, serve para permanecer sem ser notada.
Há ainda uma chave que esconde o rastro. A HideExclusionsFromLocalAdmins, nas políticas do Defender, oculta a lista de exclusões dos próprios administradores locais da máquina, de modo que quem consulta pela interface não vê o que foi dispensado da varredura.
O comportamento não é novo. O relatório liga a prática ao GootKit em 2019, ao WhisperGate em 2022, que chegou a excluir o disco C inteiro da varredura, e ao Muddled Libra em 2024.
Para a detecção, a recomendação é monitorar o registro, já que qualquer via de alteração termina ali, e tratar como suspeita a exclusão de unidades inteiras ou de diretórios de uso comum na preparação de ataques, como as pastas temporárias e a de downloads. O exame direto do registro também contorna a ocultação, porque a chave continua lá mesmo quando a consulta pela interface devolve uma lista limpa.
