自2018年一直被黑客利用，Windows又一“后门”揭秘
内容提要
Windows智能应用控制和智能屏幕存在设计缺陷，允许攻击者绕过安全控制启动程序。漏洞可通过LNK文件处理中的错误实现，攻击者可添加点或空格到目标可执行文件路径，或创建包含相对路径的LNK文件。该漏洞已被滥用多年，微软安全响应中心表示将在未来的Windows更新中解决。Elastic安全实验室还描述了其他绕过智能应用控制和智能屏幕的方法。安全团队应仔细审查下载内容，而不仅依赖操作系统的原生安全功能。
延伸解读
漏洞机制：LNK踩踏如何绕过安全控制
攻击者通过构造非标准目标路径的LNK文件，例如在可执行文件扩展名后添加点或空格，或使用相对路径，诱使用户点击。当资源管理器处理时，会自动修正路径并移除文件的Web标记（MotW），从而绕过智能应用控制和智能屏幕的检查，悄无声息地启动程序。
长期滥用与微软回应
Elastic安全实验室在VirusTotal上发现多个利用此漏洞的样本，最早可追溯至六年前，表明该漏洞自2018年以来一直被滥用。微软安全响应中心已收到报告，并表示可能在未来的Windows更新中解决该问题，但尚未提供具体时间表。
其他绕过手法与防御建议
除LNK踩踏外，攻击者还可利用签名恶意软件、信誉劫持、信誉种植和信誉篡改等方法绕过安全控制。安全团队应仔细审查下载内容，而非仅依赖操作系统原生安全功能。Elastic发布了检测逻辑和开源工具，帮助防御者在补丁前识别此类活动。
Q&A
Windows智能应用控制和智能屏幕的设计缺陷是什么？
这两个功能存在设计缺陷，允许攻击者绕过安全控制启动程序，至少自2018年以来一直被利用。
攻击者如何利用LNK文件处理中的错误？
攻击者可以通过添加点或空格到目标可执行文件路径，或创建包含相对路径的LNK文件来利用该漏洞。
微软对这个漏洞的回应是什么？
微软安全响应中心表示将在未来的Windows更新中解决该问题。
Elastic安全实验室发现了哪些其他绕过安全控制的方法？
他们发现了签名恶意软件、信誉劫持和信誉篡改等方法，可以绕过智能应用控制和智能屏幕。
安全团队应该如何应对这个漏洞？
安全团队应仔细审查下载内容，而不仅依赖操作系统的原生安全功能。
Elastic安全实验室提供了什么工具来帮助防御者？
Elastic安全实验室发布了一个开源工具，用于检查文件的智能应用控制信任级别。
