پژوهشگران امنیتی نسبت به تکنیک‌های جدید سوءاستفاده از بایندلینک‌های ویندوز (Windows Bind Links) هشدار داده‌اند که می‌توانند به مهاجمان دارای سطح دسترسی مدیریتی (Administrator Privileges) اجازه دهند بدون تغییر فایل‌های معتبر یا استفاده از اکسپلویت‌های سنتی، برخی کنترل‌های امنیتی ویندوز را دور بزنند. این روش‌ها با بهره‌گیری از قابلیت‌های داخلی ویندوز، باعث می‌شوند ابزارهای امنیتی تصویری متفاوت از وضعیت واقعی اجراها و فایل‌های فعال در سیستم دریافت کنند. پژوهشگران بیت‌دیفندر (Bitdefender) اعلام کرده‌اند که بایندلینک‌های ویندوز می‌توانند پس از نفوذ اولیه، به مهاجمان امکان دهند برخی مکانیزم‌های دفاعی را دور بزنند و به ابزاری مؤثر برای فرار از شناسایی پس از نفوذ تبدیل شوند.
مکانیزم‌های سه‌گانه سوءاستفاده از بایندلینک‌های ویندوز برای فرار از شناسایی
مهاجمانی که پیش‌تر به سطح دسترسی مدیریتی در یک سیستم ویندوزی دست یافته‌اند، اکنون می‌توانند از روش‌های جدیدی برای عبور از راهکارهای امنیت Endpoint استفاده کنند؛ روش‌هایی که بدون نیاز به اکسپلویت یک درایور آسیب‌پذیر یا دستکاری فایل‌های باینری معتبر اجرا می‌شوند.
پژوهشگران بیت‌دیفندر درباره سه تکنیک جدید با نام‌های File-Binding، Process-Binding و Silo-Binding هشدار داده‌اند که با سوءاستفاده از قابلیت قانونی بایندلینک‌های ویندوز در مجازی‌سازی فایل‌سیستم (File System Virtualization)، ابزارهای امنیتی را فریب می‌دهند. این تکنیک‌ها باعث می‌شوند محصولات امنیتی فایل‌های معتبر و قابل اعتماد را مشاهده کنند، در حالی که فایل‌های مخرب هم‌زمان بدون شناسایی اجرا می‌شوند.
به گفته پژوهشگران، این روش‌ها می‌توانند قابلیت مشاهده و نظارت سنسورهای EDR را کاهش داده و مکانیزم‌های دفاعی داخلی ویندوز مانند AMSI و AppLocker را دور بزنند. این تکنیک‌ها از نحوه عملکرد درایور Bind Filter با نام bindflt.sys سوءاستفاده می‌کنند؛ درایوری که وظیفه تغییر مسیر فایل‌ها در حافظه را بر عهده دارد.
مایکروسافت با توجه به نیاز این تکنیک‌ها به دسترسی مدیریتی، شدت این تهدید را پایین (Low Severity) ارزیابی کرده است؛ با این حال، بیت‌دیفندر معتقد است این روش‌ها همچنان می‌توانند در سناریوهای پس از نفوذ، ریسک قابل توجهی ایجاد کنند.
این شرکت با مقایسه این روش‌ها با حملات درایور آسیب‌پذیر خود را بیاورید (BYOVD)، اعلام کرده است که مهاجمان پس از نفوذ اولیه می‌توانند از قابلیت‌های قانونی سیستم‌عامل برای عبور از کنترل‌های امنیتی استفاده کنند. مایکروسافت تاکنون پاسخی به درخواست CSO برای ارائه توضیحات درباره این موضوع ارائه نکرده است.
سه مسیر سوءاستفاده از یک قابلیت ویندوز
پژوهش بیت‌دیفندر بر قابلیت بایندلینک‌های ویندوز متمرکز است؛ قابلیتی داخلی در ویندوز که برای سناریوهای قانونی مجازی‌سازی مانند سندباکس ویندوز (Windows Sandbox)، کانتینرهای ویندوز (Windows Containers) و اپلیکیشن‌های فروشگاه مایکروسافت (Store Applications) طراحی شده است. این قابلیت از طریق درایور bindflt.sys پیاده‌سازی می‌شود و اجازه می‌دهد یک مسیر فایل (File Path) به‌صورت شفاف به مسیر فایل دیگری هدایت شود، بدون اینکه یک Object قابل مشاهده در فایل‌سیستم ایجاد شده یا فایل اصلی تغییر کند.
بیت‌دیفندر نشان داده است که مهاجمان چگونه می‌توانند از این قابلیت قانونی سیستم‌عامل برای اهداف مخرب استفاده کرده و آن را به یک ابزار دور زدن کنترل‌های امنیتی تبدیل کنند.
در نخستین تکنیک، یعنی File-Binding، مسیر فایل‌ها یا فایل‌های DLL معتبر به نسخه‌های جایگزینی که توسط مهاجم کنترل می‌شوند، تغییر داده می‌شود. پژوهشگران نشان دادند که در این سناریو، پاورشل (PowerShell) تصور می‌کند فایل قانونی amsi.dll را بارگذاری کرده است، اما بایندلینک باعث می‌شود یک DLL مخرب با همان قابلیت‌ها و رابط‌های مورد انتظار جایگزین فایل اصلی شود؛ به‌گونه‌ای که مهاجم می‌تواند بدون جلب توجه، مکانیزم اسکن بدافزار را غیرفعال کند.
تکنیک دوم، یعنی Process-Binding، برای فایل‌های اجرایی نیز به کار گرفته می‌شود. پژوهشگران توضیح دادند که در این سناریو، ویندوز ممکن است یک فایل اجرایی معتبر مانند winever.exe را به‌عنوان یک پردازه معتبر در حال اجرا شناسایی کند، در حالی که در واقع سیستم‌عامل فایل اجرایی دیگری مانند cmd.exe را اجرا می‌کند. از آنجا که بسیاری از محصولات امنیتی برای اعمال قوانین مجازسازی، بررسی امضای فایل‌ها و تشخیص هویت پردازه‌ها به مسیر فایل اجرایی وابسته هستند، این اختلاف میان اطلاعات مشاهده‌شده و اجرای واقعی می‌تواند باعث عبور مهاجم از سیاست‌های امنیتی و گمراه شدن تحلیلگران شود.
پیشرفته‌ترین تکنیک در میان این سه روش، Silo-Binding است که از قابلیت Windows Silos (فناوری ایزوله‌سازی مورد استفاده در کانتینرهای ویندوز) بهره می‌گیرد. در این روش، مهاجم می‌تواند نماهای متفاوتی از فایل‌سیستم را در داخل و خارج یک محیط ایزوله ایجاد کند؛ به‌طوری‌که محتوای مشاهده‌شده توسط سیستم‌عامل در هر محیط متفاوت باشد. پژوهشگران نشان دادند که مهاجم می‌تواند یک بدافزار را درون Silo با هویت یک نرم‌افزار معتبر اجرا کند، در حالی که ابزارهای امنیتی خارج از این محیط ایزوله، فایل و فعالیت مربوطه را به‌عنوان یک کامپوننت قانونی و قابل اعتماد شناسایی می‌کنند.
به گفته بیت‌دیفندر که این تکنیک‌ها می‌توانند مکانیزم‌های امنیتی مانند AppLocker، فایروال ویندوز و Sysmon را دور بزنند. همچنین پژوهشگران موفق شدند ابزار Invoke-Mimikatz را تحت هویت یک پردازه معتبر اجرا کنند؛ روشی که نشان می‌دهد مهاجمان می‌توانند فعالیت‌های مخرب را از دید راهکارهای امنیتی پنهان کنند.
ارزیابی سطح ریسک و راهکارهای مقابله با سوءاستفاده از بایندلینک‌های ویندوز
با توجه به ارزیابی مایکروسافت مبنی بر شدت پایین این ضعف، پژوهشگران توضیح دادند که این تکنیک‌ها در دسته حملات فرار از شناسایی پس از نفوذ قرار می‌گیرند و نباید آن‌ها را یک آسیب‌پذیری اجرای کد از راه دور (RCE) در نظر گرفت.
به گفته پژوهشگران، تمام سیستم‌های ویندوز 10 نسخه RS4 به بعد و ویندوز 11، در صورتی که مهاجم به سطح دسترسی مدیریتی دسترسی پیدا کند، در برابر این تکنیک‌ها آسیب‌پذیر هستند. همچنین هر راهکار آنتی‌ویروس (AV) و EDR که برای شناسایی پردازه‌ها به مسیر فایل اجرایی ارائه‌شده توسط سازوکارهای استاندارد اعلان پردازه اعتماد کند، می‌تواند تحت تأثیر این روش‌ها قرار گیرد.
همچنین بیت‌دیفندر یک سناریوی مرتبط با افزایش سطح دسترسی (Privilege Escalation) در داکر دسکتاپ (Docker Desktop) را افشا کرد که در آن اعضای گروه docker-users می‌توانند با استفاده از قابلیت بایندلینک‌های ویندوز، سطح دسترسی SYSTEM را به دست آورند.
گزارش‌ها حاکی از آن است که داکر مستندات خود را به‌روزرسانی کرده تا پیامدهای امنیتی مجوزهای این گروه را شفاف‌تر توضیح دهد.
اگرچه ویندوز 24H2 یک مکانیزم محدودکننده برای مسدود کردن ایجاد بایندلینک‌ها ارائه کرده است، اما پژوهشگران معتقدند این اقدام تنها یک راهکار کاهش ریسک جزئی (Partial Mitigation) محسوب می‌شود؛ زیرا این تکینک تنها به نسخه‌های جدید ویندوز محدود است، در سناریوهای خاصی اعمال می‌شود و نمی‌تواند به‌طور کامل مانع سوءاستفاده از این تکنیک‌ها شود.
پژوهشگران پیشنهاد کرده‌اند ابزارهای امنیتی به‌جای اعتماد به مسیر پردازه‌ها، فایل واقعی پشت هر مسیر را بررسی کنند، هویت فایل‌ها را هنگام باز شدن مجدد برای محاسبه مقدار هش یا انجام اسکن امنیتی دوباره بررسی نمایند و وضعیت بایندلینک‌های فعال را برای شناسایی سوءاستفاده‌های مرتبط با Siloها زیر نظر بگیرند.
