Use the Bypass vulnerability to shut down Microsoft Defender. 🚨
Windows Defender, which used to be like Windows' first shield, has now become a new target of the Akira ransomware gang. Over the years, it has evolved to be almost an antivirus that many people rely on comfortably, but hackers find a way to shut it down through "Bring Your Own Vulnerable Driver" (BYOVD) attacks or exploiting vulnerable drivers.
.
This is an Intel driver named rwdrv.sys that is normally used on ThrottleStop for customizing CPUs. The first step of the attack is not complicated at all. Just trick the victim into clicking a link, downloading a file, or installing a fake software. Once this driver is installed, it will give the hacker Kernel permissions, and then load the optional driver hlpdrv.sys to completely shut down the Microsoft Defender by modifying the value in the Registry through regedit.exe.
.
Once the main armor is closed, it opens the way for malware, ransomware, or system penetration tools to work undetected. Most recently, Akira ransomware has been reported to extend its attacks to SonicWall's VPN devices, which some sources suggest may be related to a known vulnerability, not zero-day, as many are concerned.
.
The important thing is that this method is not just a test, but has been used since the middle of July, and has been found so much more and more, that experts like GuidePoint Security have to rule out YARA and publish IoCs for administrators to detect.
.
How to Protect for Ordinary Users
- Use an anti-virus supplement. Don't rely on the Defender alone.
- Be careful of clicking links or opening untrustworthy attachments.
- Avoid running commands or scripts that do not understand the operation.
- Keep updating Windows and its programs to the latest version.
- Enable two-step identity verification (2FA) on all accounts possible.
.
Source: cyberguy
ถ้าคุณกำลังค้นคำว่า “ปิด defender”, “windows defender”, หรือ “ปิด defender windows 11” ขอชวนหยุดคิดนิดนึงก่อนค่ะ/ครับ เพราะช่วงนี้มันมีข่าวที่น่ากังวลมาก: มัลแวร์/แรนซัมแวร์อย่าง Akira ถูกพบว่าใช้เทคนิค Bypass เพื่อ “ปิด Microsoft Defender” ได้จริง ไม่ใช่แค่กดปิดเองแบบปกติ แต่เป็นการปิดแบบเนียน ๆ ระดับลึก สิ่งที่น่ากลัวคือเขาไม่ได้เริ่มจากการแฮกยาก ๆ เลย ขั้นแรกมักมาในรูปแบบที่เราเจอบ่อย: ลิงก์หลอก, ไฟล์แนบอีเมล, โปรแกรมเถื่อน หรือซอฟต์แวร์ปลอมให้ติดตั้ง พอติดตั้งแล้วจะมีการพา “ไดรเวอร์ที่มีช่องโหว่” เข้ามาในเครื่อง (แนวคิดนี้เรียก BYOVD: Bring Your Own Vulnerable Driver) เคสที่ถูกพูดถึงคือไดรเวอร์ Intel ชื่อ rwdrv.sys ที่เคยถูกใช้กับโปรแกรมสายปรับแต่งเครื่องอย่าง ThrottleStop ซึ่งถ้าถูกนำมาใช้ผิดทาง จะกลายเป็นบันไดให้คนร้ายยกระดับสิทธิ์ไปถึงระดับ Kernel ได้ เมื่อได้สิทธิ์สูงแล้ว คนร้ายสามารถโหลดไดรเวอร์อื่นเพิ่ม (มีรายงานชื่อ hlpdrv.sys) แล้วไปแก้ค่าระบบ/Registry เพื่อทำให้ Windows Defender ปิดลงหรือทำงานผิดปกติ พอ “โล่” หลักหายไป เครื่องก็เหมือนเปิดประตูให้มัลแวร์ทำงานได้โดยไม่โดนจับ สอดคล้องกับภาพแนว “VIRUS ALERT!” ที่หลายคนเห็นตามข่าว—คือ Defender ถูกทำให้เงียบก่อน แล้วค่อยลงเพย์โหลดตัวจริงทีหลัง แล้วถ้าคุณอยากปิด Defender เอง (เช่น ทดสอบโปรแกรม/เกมบางอย่าง) ทำยังไงให้ปลอดภัยขึ้น? 1) ตรวจให้ชัดว่าจำเป็นจริงไหม หลายครั้งที่ Defender บล็อกไฟล์ เพราะไฟล์นั้นเสี่ยงจริง โดยเฉพาะไฟล์แคร็ก/คีย์เจน/ตัวติดตั้งจากแหล่งไม่รู้จัก ถ้าต้นเหตุคือไฟล์ประเภทนี้ การ “ปิด windows defender” จะยิ่งเพิ่มความเสี่ยงแบบก้าวกระโดด 2) ใช้วิธี “อนุญาตเป็นจุด ๆ” แทนการปิดทั้งระบบ ใน Windows 11 แนะนำให้ลองทำเป็นข้อยกเว้น (Exclusion) เฉพาะโฟลเดอร์/ไฟล์ที่มั่นใจ และใช้ชั่วคราว แล้วลบออกภายหลัง วิธีนี้ลดโอกาสที่เครื่องจะโล่งทั้งระบบ 3) ถ้าจำเป็นต้องปิดจริง ให้ทำแบบชั่วคราวและออฟไลน์ เช่น ตัดเน็ตก่อน ทดสอบให้เสร็จ เปิด Defender กลับทันที และสแกนซ้ำอีกครั้ง ข้อนี้ช่วยลดความเสี่ยงจากมัลแวร์ที่รอโหลดเพิ่มจากอินเทอร์เน็ต 4) สังเกตอาการผิดปกติว่า Defender “ถูกปิดเอง” หรือไม่ ถ้าคุณไม่ได้ตั้งใจปิด แต่พบว่า Real-time protection ปิด, เปิดกลับแล้วยังเด้งปิด, หรือมีการแจ้งเตือนแปลก ๆ ให้สงสัยไว้ก่อนว่าอาจโดนแก้ระบบ/Registry หรือมีไดรเวอร์แปลก ๆ ทำงานอยู่ 5) เสริมเกราะหลายชั้น อัปเดต Windows/ไดรเวอร์เสมอ, เปิด 2FA, ไม่กดลิงก์มั่ว, และถ้าทำงานสำคัญแนะนำมีแอนตี้ไวรัสเสริม/EDR หรืออย่างน้อยเปิดฟีเจอร์ความปลอดภัยเพิ่ม (เช่น SmartScreen/Controlled folder access) และสำรองข้อมูลแบบแยกจากเครื่องเป็นประจำ สรุปคือ คำค้น “windows defender ปิด” อาจเริ่มจากความอยากแก้ปัญหาเล็ก ๆ แต่ในช่วงที่มีเทคนิค BYOVD ถูกใช้จริง การปิด Defender แบบไม่ระวังอาจกลายเป็นการเปิดทางให้แรนซัมแวร์เข้ามาล็อกไฟล์ทั้งเครื่องได้เลย