Существование в Windows в условиях работы антивируса

TeodorZvelt · 17.05.2026

Как в реальных red Teaming проектах делают закрепление и исполнение в Windows системах, на которой, естественно, установлен антивирус? Lotl техниками? Разве антивирусы их уже не знают вдоль и поперек, тот же самый task sheduler ? Или возможно положить файл? Антивирус на диске его не убьет? Если файл, то может ли он быть разработан, например, на .NET стеке, или GO? Или в 2026 году не обойтись без Halo Gate, inderect syscls и тд?

Читаю достаточно много отчетов APT, и возникает такое ощущение, что все техники +- одни и те же. Неужели антивирусные компании не выработали меры противодействия этому? Вопросы, может быть, базовые, но будет здорово получить ответы) Спасибо!

lololoshka1917 · 01.06.2026

на удивление да, даже на топовых решениях всё ещё работает закрепление на лолбин через реестр на Run ключ.

QWERTY1331 · 14.08.2026

Антивирус не панацея, если в самой виндовс не стоят обновления безопасности )))

XShar · 14.08.2026

TeodorZvelt сказал(а):
Неужели антивирусные компании не выработали меры противодействия этому? Вопросы, может быть, базовые, но будет здорово получить ответы) Спасибо!

Всё очень просто, антивирусы ограничины в ресурсах, ну например если сделать слип условно 1 минуту, эмулятор антивируса не будет ждать эту минуту, также эмулятор не будет ждать результаты долгих вычислений, ветвлений и т.д.
Это первый вариант обхода.

Второе про белые приложения, техника Lotl, тут тоже всё просто, антивирусы не могут позволить себе ложные срабатывания, белые приложения могут использоваться по разному, тот-же powerShell, что любой скрипт, который долбит сеть детектить ?)

Но основное пользователь сам отключает антивирус, либо если это сервер, атакующий перед атакой, просто вырубает его.

Почти все атаки как правило головотяпство пользователей, либо неквалифицированные админы.)