🔒 WSL - твоя легальная зона невидимости от Defender и не только или «это не баг - это фича»
Интересный факт: если скачать SafetyKatz.exe или любой другой red team тул в обычную папку на Windows - Defender тут же бьёт тревогу. Но если ты кинешь тот же .exe или .dll в подсистему WSL (например, Ubuntu или Kali) — тупо тишина.
Почему так?
➡️ Потому что Defender не сканирует WSL-директории в реальном времени.
Ни ~/, ни \\wsl$\\ - вообще никак. Даже если внутри лежит жирный mimikatz.exe с сигнатурами из учебника по форензике.
➡️ Более того, Defender не отслеживает процессы, запущенные в WSL, пока они не пересекают границу в мир Windows (/mnt/c/... и т.п.).
Ты можешь исполнять скрипты, хранить бинари, анализировать malware - и никто не пикнет.
🧠 Вся логика защиты Windows построена вокруг NTFS и PE-файлов. А WSL - это отдельная FS (в случае WSL2 - ext4 в VHDX). То есть фактически: белое пятно на карте защиты.
🎯 Как это можно использовать:
• безопасная зона для анализа вредоносов;
• скрытое хранилище тулзов red team’а;
• C2-операции, использующие WSL как staging point.
💬 Кто шарит - уже юзает. Кто не шарит - пусть знает.
#pentest #redteam #wsl #windowsdefender #securixy
