GhostTree manda in crisi la scansione ricorsiva di Windows
GhostTree rompe un presupposto base degli scanner: che seguire l’albero delle cartelle prima o poi porti a una fine. Con un semplice write access, una junction NTFS può puntare di nuovo alla propria directory e trasformare la scansione ricorsiva in un percorso che si riapre all’infinito; il risultato è un controllo che non termina e lascia file malevoli nella stessa cartella senza ispezione.
Varonis descrive la tecnica su Windows e mostra che il problema non riguarda solo Defender: colpisce qualunque strumento che faccia file sweep ricorsivi o indexing del contenuto. Non servono privilegi di admin, solo la possibilità di scrivere nella cartella bersaglio; il vincolo pratico è la lunghezza massima del path, che limita ma non annulla l’effetto.
Per chi basa triage e malware sweep sulla ricorsione del filesystem, il rischio trasferibile è chiaro: la struttura della directory può diventare ostile e spegnere la copertura proprio dove si conta di più sulla scansione.