Существование в Windows в условиях работы антивируса

[TeodorZvelt]

Как в реальных red Teaming проектах делают закрепление и исполнение в Windows системах, на которой, естественно, установлен антивирус? Lotl техниками? Разве антивирусы их уже не знают вдоль и поперек, тот же самый task sheduler ? Или возможно положить файл? Антивирус на диске его не убьет? Если файл, то может ли он быть разработан, например, на .NET стеке, или GO? Или в 2026 году не обойтись без Halo Gate, inderect syscls и тд?

Читаю достаточно много отчетов APT, и возникает такое ощущение, что все техники +- одни и те же. Неужели антивирусные компании не выработали меры противодействия этому? Вопросы, может быть, базовые, но будет здорово получить ответы) Спасибо!

 

[lololoshka1917]

на удивление да, даже на топовых решениях всё ещё работает закрепление на лолбин через реестр на Run ключ.

 

[QWERTY1331]

Антивирус не панацея, если в самой виндовс не стоят обновления безопасности )))

 

[XShar]

Неужели антивирусные компании не выработали меры противодействия этому? Вопросы, может быть, базовые, но будет здорово получить ответы) Спасибо!

Всё очень просто, антивирусы ограничины в ресурсах, ну например если сделать слип условно 1 минуту, эмулятор антивируса не будет ждать эту минуту, также эмулятор не будет ждать результаты долгих вычислений, ветвлений и т.д.
Это первый вариант обхода.

Второе про белые приложения, техника Lotl, тут тоже всё просто, антивирусы не могут позволить себе ложные срабатывания, белые приложения могут использоваться по разному, тот-же powerShell, что любой скрипт, который долбит сеть детектить ?)

Но основное пользователь сам отключает антивирус, либо если это сервер, атакующий перед атакой, просто вырубает его.

Почти все атаки как правило головотяпство пользователей, либо неквалифицированные админы.)