Bitdefender ha pubblicato una ricerca che illustra tre tecniche di attacco finora sconosciute, capaci di sfruttare una funzionalità legittima di Windows nota come bind links, che consentono di eludere i sistemi EDR (Endpoint Detection and Response) e diverse misure di sicurezza integrate nel sistema operativo, tra cui AMSI, AppLocker, Windows Firewall e Sysmon.
Queste tecniche sfruttano una funzionalità di virtualizzazione integrata in Windows 10 RS4 e versioni successive, nonché in Windows 11, per reindirizzare i percorsi dei file considerati attendibili verso file controllati dall’attaccante, senza alterare i file presenti sul disco.
Risultati principali:
• Tre nuove tecniche di attacco “bind link” (File-Binding, Process-Binding e Silo-Binding) eludono i sistemi di rilevamento di sicurezza a livello di kernel
• Silo-Binding, la più avanzata delle tre tecniche, crea due viste separate del filesystem: il codice dannoso viene così eseguito in un ambiente isolato, mentre gli strumenti di sicurezza esterni continuano a visualizzare solo file legittimi e non compromessi.
Bitdefender ha verificato queste tecniche in un ambiente operativo reale, dimostrando la loro capacità di eludere le difese EDR utilizzando lo strumento per il furto di credenziali Invoke-Mimikatz.
