DoubleAgent: l’abuso di Application Verifier nel 2017

Correzione del 31 ottobre 2026. Precisati i privilegi richiesti e la documentazione di Application Verifier; rimossi gli assoluti su processi, impossibilità di difesa e stato degli antivirus.

Nel marzo 2017 Cybellum presentò DoubleAgent, una tecnica che abusava di Application Verifier per far caricare una DLL in un processo bersaglio. La ricerca mostrava anche attacchi contro prodotti antivirus dell’epoca.

Application Verifier è uno strumento documentato da Microsoft per individuare errori durante l’esecuzione dei programmi. La funzione legittima non era una backdoor segreta: il problema era il suo possibile abuso.

Il prerequisito cambia il rischio

La configurazione mostrata richiedeva accesso locale con privilegi sufficienti per modificare le impostazioni protette del sistema, normalmente amministrativi. Non era un attacco remoto capace di prendere da zero qualsiasi PC. Il materiale originale di Cybellum va letto tenendo conto di questo prerequisito e delle versioni testate.

L’iniezione può aiutare un intruso già presente a mantenere la persistenza o a interferire con un componente di sicurezza. Da questo non segue che ogni processo possa essere attaccato in ogni configurazione o che non esista alcuna difesa. Protezione dei processi, controlli sull’integrità e modifiche dei prodotti possono cambiare l’esito.

La definizione “non patchabile” usata nella comunicazione dell’epoca descriveva l’abuso di una funzione, non una condanna permanente di Windows. Anche la vecchia graduatoria degli antivirus protetti non costituisce una valutazione dei prodotti odierni.