Microsoft сообщила о возникшей проблеме в Windows, из-за которой операционная система выдает пользователям сообщение о том, что антивирус Microsoft Defender отключен, хотя на самом деле он функционирует в обычном режиме.
Эксперты отмечают, что подобное сообщение вызывает серьезную тревогу, поскольку оно может заставить пользователей игнорировать важные предупреждения, что значительно повышает их уязвимость для кибератак.
В обновлении панели мониторинга состояния Microsoft Defender, посвященном этой проблеме, говорится: "После установки последних обновлений для Microsoft Defender Antivirus, пользователи могут столкнуться с уведомлениями, в которых утверждается, что "Microsoft Defender Antivirus отключен", хотя антивирус работает корректно, и все настройки показывают его активность. Эти уведомления могут появляться при запуске Windows и периодически после этого. Они сохраняются даже при отключенных настройках уведомлений. Данная проблема может возникать во всех версиях Windows и Windows Server, где установлен Microsoft Defender Antivirus с последними обновлениями".
В сообщении также указано: "Мы работаем над выпуском решения в будущей версии Microsoft Defender Antivirus и предоставим дополнительную информацию, как только она станет доступна".
Компания отметила, что уязвимость затрагивает широкий спектр версий операционных систем Windows, начиная с текущей версии Windows 11 (26H1) и Windows Server 2025, и заканчивая более старыми версиями, такими как Windows 10 Enterprise LTSC 2016 и Windows Server 2012.
Плохие рекомендации: что нужно знать о новых инструментах
Эксперты в сфере информационной безопасности выразили обеспокоенность в связи с рекомендацией Microsoft, согласно которой пользователям следует игнорировать определенные предупреждения.
"Microsoft недавно опубликовала рекомендации, в которых говорится, что организации должны игнорировать именно тот сигнал, который предшествует большинству атак программ-вымогателей", – заявил Аман Махапат, главный стратег технологической консалтинговой фирмы Tribeca Softtech. Он отметил, что отключение защиты конечных устройств – это распространенная практика, используемая практически во всех инструкциях для программ-вымогателей за последние пять лет.
"Предупреждение, которое Microsoft советует игнорировать, – это то же предупреждение, которое выдает оператор незадолго до начала шифрования", – сказал он. "Это серьезная уязвимость в системе безопасности, вызванная ошибкой в программном обеспечении, и отсутствие четких сроков исправления только усугубляет ситуацию".
Более того, эксперт ожидает, что многие центры управления безопасностью (SOC) будут разрабатывать правила для подавления этих предупреждений, что еще больше усугубит проблему.
Когда сигнал возникает постоянно и очевидно, что он ложный, негативное воздействие на пользователя проявляется уже через несколько дней, а не недель», – заявил Махапат. «Служба безопасности, отслеживающая сотни подобных сигналов в среде Windows, уже в течение недели разработает механизм для их автоматического подавления. Иначе – система будет перегружена ложными предупреждениями. И этот механизм останется активным еще несколько месяцев, пока не будет устранена уязвимость. Никто не отменяет существующие фильтры, которые обеспечивают порядок в работе системы».
Махапат также прогнозирует, что злоумышленники быстро начнут использовать эту уязвимость для проведения атак социальной инженерии.
«Злоумышленник, звонящий в службу поддержки и сообщающий: «У меня на компьютере появятся предупреждения от антивируса Defender, Microsoft сообщает об известной уязвимости, игнорируйте их», теперь может опираться на официальное предупреждение от поставщика, которое подтверждает его слова. Службы поддержки уже готовы к подобным ситуациям. Это проверенный сценарий, описанный в публичных документах, и он будет активно использоваться».
Лейн Тэмс, руководитель команды по исследованиям и разработкам в области кибербезопасности в Fortra, подтвердил опасения Махапата.
Командам, отвечающим за IT, необходимо уделять особое внимание тому, как они информируют пользователей о данной проблеме, и эта коммуникация должна быть оперативной", – отметил представитель компании. "Сообщение не должно быть лаконичным: "Если Windows показывает, что Defender выключен, просто игнорируйте это". Именно такое поведение мы годами призываем пользователей избегать".
"Гораздо эффективнее сообщить, что Microsoft сейчас сталкивается с известной проблемой в Microsoft Defender, связанной с уведомлениями. Однако, пользователи должны продолжать сообщать о подозрительных сообщениях безопасности через стандартные каналы поддержки или службу безопасности", – добавил он. "IT-отделы должны самостоятельно проверять состояние Defender, а не требовать от пользователей делать это. В противном случае, когда следующее предупреждение окажется реальным, пользователи могут уже быть привыкли игнорировать его".
Эта "ошибка" в Microsoft Defender "создает благоприятные условия для реальной атаки, которая может замаскироваться под обычные уведомления", – подчеркнул представитель компании.
Ухудшение доверия к ИИ-инструментам
Однако, компания Thames подчеркнула, что существует более серьезная проблема: снижение доверия пользователей к системе безопасности.
«Предупреждения о безопасности эффективны только в том случае, если пользователи им верят. Если Windows постоянно сообщает кому-то, что его антивирус отключен, в то время как IT-отдел утверждает обратное, рано или поздно одна из этих систем теряет доверие, а возможно, и обе», — отметил он. «Microsoft должна оперативно решить эту проблему, поскольку ложные предупреждения о безопасности имеют серьезные последствия: они подрывают доверие, на котором основаны все средства защиты».
Том Келлерман, вице-президент по вопросам безопасности и исследованиям угроз в TrendAI (подразделение TrendMicro), добавил, что в атаках, которые анализировала его команда, примерно 67% используют манипуляции и отключение программ безопасности, что обычно является предвестником «более масштабной и опасной кампании».
Он назвал формулировку в рекомендациях Microsoft «плохим примером кризисной коммуникации» и «необоснованной». «Не стоит слепо следовать этим советам [игнорировать предупреждение]. Необходимо проверить, насколько они соответствуют действительности, и привлечь команды по поиску угроз, которые могут изучить данные XDR».
Сохранение доказательств
Ноа Кенни, ведущий консультант Digital 520, посоветовал руководителям отделов информационной безопасности (CISOs) и директорам информационных технологий (CIOs) тщательно документировать эту ситуацию, чтобы использовать полученные данные в споре со страховыми компаниями. По его мнению, страховые компании, скорее всего, не примут аргумент о том, что Microsoft заявила об ошибке, в качестве доказательства эффективности Defender.
«Через шесть месяцев, когда страховая компания будет анализировать скомпрометированный сервер, аргумент «Microsoft заявляет об ошибке» не будет иметь веса. В отчетах будет видно, что Defender был выключен, а Microsoft – включен. Компания должна предоставить собственные данные, чтобы доказать свою позицию», – подчеркнул Кенни. «Это означает сохранение журналов проверок датчиков, версий Defender и любых несоответствий в отчетах. Руководители отделов информационной безопасности должны сохранить эти данные прямо сейчас. Установка патча устранит предупреждение, но не вернет утерянные доказательства, если компания не подготовила их заранее».
Кенни отметил, что его основная обеспокоенность связана с широким распространением данного предупреждения на множество версий Windows.
Версии Windows 11 26H1 и Windows Server 2012 разделены на 14 лет. Microsoft сообщает, что эта уязвимость может повлиять на обе операционные системы. Обычно компании делят рабочие станции, серверы, устаревшие системы и критическую инфраструктуру на отдельные группы для установки обновлений, однако Defender охватывает все эти системы. Обновление, которое устраняет проблему, будет установлено, но основная причина уязвимости в системе Windows останется, и некачественное обновление может привести к возникновению аналогичной проблемы безопасности во всех системах одновременно.
