Defender escluso prima del payload: il loader arriva già autorizzato
La rottura non è il finto Python, ma il fatto che Microsoft Defender viene istruito prima a non guardare proprio nella cartella e nel processo che l’attacco userà. Così un controllo nato per ridurre i falsi positivi diventa il punto cieco che lascia passare il loader con meno attrito di un drop normale.
Blackpoint Cyber ha descritto un attacco su due endpoint di uno studio legale: spear phishing, archivio su Mega, escalation e poi esclusioni Defender già impostate per una directory di staging e per python.exe. Solo dopo arrivano il falso runtime Python, il loader HollowFrame in Go e due backdoor Rust, Matryoshka, con tecniche come process ghosting, module stomping e manual PE mapping.
Il messaggio per chi gestisce Defender è più ampio del singolo caso: quando le esclusioni possono essere pre-seedate, il problema non è soltanto il payload ma la fiducia nel percorso di esecuzione. La visibilità post-phish può arrivare già compromessa, anche se l’eseguibile che compare sulla macchina sembra un runtime innocuo.