一种新演示的攻击技术揭示了 Windows Defender 管理其更新和执行机制的一个缺陷。

通过利用符号链接，攻击者可以劫持 Defender 的服务文件夹，完全控制其可执行文件，甚至完全禁用防病毒软件。

漏洞利用机制

Windows Defender 将其可执行文件存储在ProgramData\Microsoft\Windows Defender\Platform下的版本化文件夹中 。

每次服务更新时，它都会创建一个具有最新版本号的新文件夹，并将 Defender 服务指向该路径。

该机制旨在确保版本之间的无缝过渡，同时保护关键文件不被修改。

然而，研究人员发现，可以在受保护的平台目录内创建新文件夹甚至符号链接（symlinks）。

可执行文件位于攻击者完全控制的文件夹中，具有读/写访问权限

通过插入具有最高版本号的符号链接文件夹，攻击者诱骗 Defender 从他们完全控制的位置执行。

例如，创建从 C:\ProgramData\Microsoft\Windows Defender\Platform\5.18.25070.5-0 到 C:\TMP\AV 的链接 会强制 Defender 从攻击者控制的目录执行。

这使得入侵者能够完全控制防病毒二进制文件的读/写。

一旦被劫持，Windows Defender 就可以通过多种方式被操纵。攻击者可以将恶意 DLL 侧载到 Defender 进程中，覆盖或删除其关键可执行文件，或者将服务重定向到无效路径。

实际上，这意味着他们可以有效地禁用 Windows Defender，而无需第三方工具或内核级漏洞。

更简单的破坏方式是在重启后删除符号链接。一旦删除，Windows Defender 就会尝试从不存在的文件夹启动，导致服务失败，系统失去保护。

概念验证的屏幕截图显示，由于这种操作，Windows 安全仪表板已完全被禁用。

这次攻击特别危险，因为它只利用 Windows 内置命令，例如 mklink 和 rmdir。

不需要特殊的恶意软件或漏洞代码，这使其成为红队、渗透测试人员或现实世界对手的一种隐秘而有效的方法。

此漏洞表明 Defender 在版本转换期间对目录结构的信任存在根本性弱点。

由于未能正确验证符号链接，微软Windows Defender可能会在具有管理权限的用户级别被破坏。

这些技术凸显了端点防御中更广泛的挑战：安全软件本身以提升的权限运行，但通常具有可利用的机制来破坏其保护。

对于攻击者来说，逃避或禁用防御的能力是获得目标系统持久性的关键部分。这一发现强化了恶意软件开发者和防御技术之间的猫捉老鼠性质。

由于 Windows Defender 已成为数百万用户的默认安全工具，其利用潜力使其成为高价值目标。

详细报告：

https://www.zerosalarium.com/2025/09/Break-Protective-Shell-Windows-Defender-Folder-Redirect-Technique-Symlink.html