Всем хорошего выходного))
Погода в Москве пока что замечательная

А я к вам по делу 🧐

Подскажите в ЛС какие есть в РФ или СНГ команды, которые заинтересованы в инхаус AI Security (ML+LLM) R&D или консалтинг разработка продуктов или оказание услуг по теме связанной с (не)безопасностью ИИ.

Интересно послушать рынок, вопрос ко всем причастным, не важно вы стажорчик или руководитель департамента или даже гендиректор)

Интересно какие задачи, сколько платят или готовы платить, какие ожидания у бизнеса или заказчиков

Собственно жду Вас в личных сообщениях)

А если вы не причастны к этому направлению, то с вас смешной мем))

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK

GhostTree: как NTFS junction мешает EDR-сканированию

Varonis Threat Labs описали приём GhostTree: злоупотребление NTFS junction points, которые в Windows создаются через mklink /J <link> <target>. По документации Microsoft, ключ /J создаёт directory junction, а junction в NTFS реализованы через reparse points.

Идея простая: пользователь с правом записи создаёт junction из дочерней папки обратно в родительскую. Для ОС это остаются валидные пути к одному и тому же файлу, но для рекурсивного сканера дерево начинает разрастаться. В варианте GhostBranch путь повторяет одну ветку; в GhostTree несколько junction дают комбинаторный взрыв. Varonis приводит оценку: при глубине около 126 уровней две ветки дают 2^126, примерно 8.5 × 10^37 возможных путей.

Главный практический риск связан с поведением инструментов, которые доверчиво обходят каталоги рекурсивно. По данным Varonis, такой каталог может подвесить сканирование папки, а файл рядом с junction-структурой останется непроверенным. Исследователи проверили обход на Windows Defender; Microsoft сначала закрыла тикет с формулировкой, что обход Defender не пересекает security boundary, но затем проблему всё равно исправила.

Защита тут скучная, но полезная: не считать EDR-сканирование единственным контролем, логировать создание junction/reparse points в пользовательских директориях, ограничивать права записи там, где запускаются исполняемые файлы, и тестировать антивирусные/EDR-агенты на циклические структуры каталогов. Для защитной команды это хороший регрессионный тест: сканер должен уметь видеть цикл, а не бесконечно верить файловой системе.

🔗Источники:
Varonis GhostTree
Microsoft mklink
Microsoft Hard Links and Junctions

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK