Malware · 105 giorni fa
GhostTree rompe un presupposto base degli scanner: che seguire l’albero delle cartelle prima o poi porti a una fine. Con un semplice write access, una junction NTFS può puntare di nuovo alla propria directory e trasformare la scansione ricorsiva in un percorso che si riapre all’infinito; il risultato è un controllo che non termina e lascia file malevoli nella stessa cartella senza ispezione.
Varonis descrive la tecnica su Windows e mostra che il problema non riguarda solo Defender: colpisce qualunque strumento che faccia file sweep ricorsivi o indexing del contenuto. Non servono privilegi di admin, solo la possibilità di scrivere nella cartella bersaglio; il vincolo pratico è la lunghezza massima del path, che limita ma non annulla l’effetto.
Per chi basa triage e malware sweep sulla ricorsione del filesystem, il rischio trasferibile è chiaro: la struttura della directory può diventare ostile e spegnere la copertura proprio dove si conta di più sulla scansione.
1 fonte che coprono questa storia
GhostTree Attack Abused Recursive Windows Junctions to Hide Malware
Varonis explains how the technique could cause Microsoft Defender folder scans to never complete, leaving malware undetected.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-06-17