GhostTree: как NTFS junction мешает EDR-сканированию — 25 мая 2026 г. в 11:28:14.089
GhostTree: как NTFS junction мешает EDR-сканированию Varonis Threat Labs описали приём GhostTree: злоупотребление NTFS junction points, которые в Windows создаются через mklink /J <link> <target>. По документации Microsoft, ключ /J создаёт directory junction, а junction в NTFS реализованы через reparse points. Идея простая: пользователь с правом записи создаёт junction из дочерней папки обратно в родительскую. Для ОС это остаются валидные пути к одному и тому же файлу, но для рекурсивного сканера дерево начинает разрастаться. В варианте GhostBranch путь повторяет одну ветку; в GhostTree несколько junction дают комбинаторный взрыв. Varonis приводит оценку: при глубине около 126 уровней две ветки дают 2^126, примерно 8.5 × 10^37 возможных путей. Главный практический риск связан с поведением инструментов, которые доверчиво обходят каталоги рекурсивно. По данным Varonis, такой каталог может подвесить сканирование папки, а файл рядом с junction-структурой останется непроверенным. Исследователи проверили обход на Windows Defender; Microsoft сначала закрыла тикет с формулировкой, что обход Defender не пересекает security boundary, но затем проблему всё равно исправила. Защита тут скучная, но полезная: не считать EDR-сканирование единственным контролем, логировать создание junction/reparse points в пользовательских директориях, ограничивать права записи там, где запускаются исполняемые файлы, и тестировать антивирусные/EDR-агенты на циклические структуры каталогов. Для защитной команды это хороший регрессионный тест: сканер должен уметь видеть цикл, а не бесконечно верить файловой системе. Источники: Varonis GhostTree Microsoft mklink Microsoft Hard Links and Junctions @poxek | MAX | Блог | YT | RT | VK