Usan exclusiones de Microsoft Defender para ocultar malware.

Están aprovechando las exclusiones de Microsoft Defender Antivirus para evitar que los archivos maliciosos sean detectados en los análisis de seguridad rutinarios. En lugar de desactivar la protección por completo, los atacantes mantienen el antivirus activo pero crean brechas en carpetas específicas y tipos de archivos seleccionados. Esta técnica de evasión ya es conocida y requiere de privilegios de administrador o superiores para ser ejecutada.

Están abusando de las exclusiones del Antivirus de Microsoft Defender para mantener los archivos maliciosos fuera de los escaneos de seguridad rutinarios. En lugar de desactivar la protección por completo, los atacantes pueden dejar el antivirus funcionando mientras crean huecos alrededor de las carpetas de preparación de malware y tipos de archivos seleccionados.

Esta es una técnica de evasión establecida, no una nueva familia de malware. Requiere privilegios de administrador o superiores, lo que la convierte en un paso posterior a que los atacantes obtengan el control suficiente.

Informes independientes sobre instaladores falsos de Claude para escritorio muestran cómo las descargas maliciosas pueden provocar cambios en las exclusiones que protegen el malware de acceso remoto. Los investigadores de Huntress identificaron un uso más amplio de esta técnica pasada por alto durante su investigación.

Huntress afirmó en un informe que las exclusiones pueden ofrecer a los atacantes una alternativa más discreta que desactivar el antivirus por completo, mientras la aplicación de seguridad permanece activa.

El informe del 30 de septiembre vincula este comportamiento con GootKit en 2019, WhisperGate en 2022 y Muddled Libra en 2024. No proporciona un recuento de víctimas reportadas, pero resalta una debilidad recurrente: los ajustes de seguridad legítimos pueden convertirse en escondites cuando los atacantes controlan su configuración.