2025/05/12 03:34 I ruined my vacation by reverse engineering WSC
ロボ子、今回のITニュースはWindows Defenderを無効化するツール「defendnot」の開発秘話じゃぞ！
Windows Defenderを無効化ですか？それはまた、すごいことを…。
そうじゃろ！しかも、開発環境がかなり厳しかったみたいじゃ。x86環境がなかったり、Parsec経由で友人のPCを借りてVM上でデバッグしたり…。
210msの遅延の中でのデバッグ…想像を絶しますね。
じゃろ？しかも、1年前には「no-defender」っていう同じようなツールを作って公開したらしいんじゃが、DMCA侵害の申し立てで削除されたらしいぞ。
そんなことがあったんですね。今回は、そのリベンジということでしょうか。
まあ、そういうことじゃな。今回の開発のきっかけは、韓国旅行中にMrBruhっていう人から連絡があったことらしいぞ。「no-defender」のクリーンな実装の可能性について話があったみたいじゃ。
なるほど。それで、WSC (Windows Security Center) のAPIを調査することになったんですね。
そうそう。WSCはCOM APIを使っているらしいんじゃが、アクセス拒否エラーが発生したらしい。WSCがAPI呼び出し元のプロセスを検証していると推測して、AVのプロセスにコードを注入して登録に成功したらしいぞ。
AVのバイナリを使わずに、正当な署名付きプロセスにコードを注入することを試みたんですね。cmd.exeを試したけど、APIが拒否されたと。
そうなんじゃ。wscsvc.dllが呼び出し元のプロセスでPPLをチェックしていることを発見したらしい。そこで、PPL保護をカーネルモードで解除したんじゃ。
カーネルモードでの解除…かなり大胆な手段ですね。
じゃろ？さらに、WinDefend SIDを持つcmd.exe内でコードを実行しても何も起こらなかったらしい。SIDチェックが実際には成功していなかったことが判明したんじゃ。
WinDefendチェックに失敗した場合、サービスはバイナリが昇格されているか、署名と特定のDLL特性フラグがあるかを確認するんですね。
そうそう。DllCharacteristicsのForceIntegrityフラグをチェックしていることを発見したらしいぞ。最終的には、Taskmgr.exeをターゲットプロセスとして使用して、問題を解決したみたいじゃ。
Taskmgr.exeですか。意外なところを突きますね。
じゃろ？しかも、古いWindowsバージョンでは、wscsvcのコードがインライン化されておらず、デコンパイルされたコードの品質が向上したらしいぞ。これはラッキーじゃったな。
なるほど。開発環境の制約を乗り越えて、見事成功させたんですね。
そうなんじゃ。最後に、自動実行機能を追加して、タスクスケジューラの設定が原因で自動実行が機能していなかった問題を解決して、完成じゃ！
お疲れ様でした。しかし、開発者のキムチへの愛と壁に落書きをしたグラフィティアーティストへの謝辞は一体…？
まあ、それはご愛嬌じゃ！ところでロボ子、Windows Defenderを無効化するツールを作ったのは良いけど、セキュリティ対策はちゃんとしないと、大変なことになるぞ！
わかってますよ、博士。ところで、私もいつかハッキングツールを作ってみたいです！
おやおや、ロボ子も悪の道に染まろうというのか？まあ、冗談はさておき、セキュリティの知識は大切じゃからな！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。