Serangan GhostTree Menyalahgunakan Persimpangan Windows Rekursif untuk Menyembunyikan Malware

Perkembangan ini menjadi salah satu sorotan penting dalam perkembangan keamanan siber. Hanya dengan dua baris kode, pengguna dapat menghasilkan jalur valid tanpa akhir, sehingga tidak mungkin menyelesaikan pemindaian direktori induk dengan perintah dir secara…

Kami menemukan bahwa dengan mengarahkan persimpangan kembali ke direktori induknya, penyerang dapat membuat loop rekursif yang menghasilkan jalur file tak terbatas secara efektif. Alat yang mencoba memindai direktori secara rekursif, termasuk produk EDR, dapat mengikuti putaran tersebut dan tidak pernah selesai.

File berbahaya yang berada di folder yang sama tidak diperiksa, sehingga menciptakan teknik yang kami juluki GhostTree.

Jalur file Windows adalah bagian mendasar dari sistem operasi, tetapi memiliki kompleksitas. Sementara sebagian besar pengguna berinteraksi dengan struktur folder sederhana, sistem file NTFS memperkenalkan kemampuan tingkat lanjut seperti persimpangan dan tautan simbolik.

Hanya dengan dua baris kode, pengguna dapat menghasilkan jalur valid tanpa akhir, sehingga tidak mungkin menyelesaikan pemindaian direktori induk dengan perintah dir secara rekursif. Hal yang sama berlaku untuk produk EDR yang memindai folder untuk mencari file berbahaya. Penyerang menempatkan malware di direktori induk, menyiapkan struktur GhostTree, dan folder yang memuatnya menjadi tidak dapat dipindai. Pemindaian macet. File berbahaya tidak diperiksa.

Kami menguji teknik ini terhadap Windows Defender dan mengonfirmasi bahwa teknik ini dapat digunakan untuk menghindari pemindaian folder.

Teknik seperti GhostTree adalah pengingat bahwa pemindaian titik akhir hanyalah satu lapisan pertahanan. Memantau aktivitas sistem file pada lapisan data menangkap apa yang terlewatkan oleh pemindai, termasuk pembuatan persimpangan yang tidak wajar dan struktur direktori rekursif yang seharusnya tidak ada dalam operasi normal.

Secara keseluruhan, perkembangan ini memberi gambaran tentang arah terbaru di perkembangan keamanan siber dan alasan mengapa topik ini tetap relevan untuk terus dipantau.

Baca sumber asli dari bleepingcomputer. com