Antiviry ve Windows jsou slepé k novému triku hackerů. Využívají legitimní funkci systému a Microsoft to neřeší

Bezpečnostní firma Bitdefender odhalila tři techniky, které zneužívají funkci Windows k oklamání antivirů. Microsoft problém bagatelizuje.

Zdroj fotografie: Unsplash

Dne 15. července 2026 publikoval výzkumník Martin Zugec z Bitdefender Labs analýzu, která popisuje, jak lze pomocí takzvaných bind links, legitimní virtualizační funkce zabudované přímo v jádře Windows, přesměrovat důvěryhodné systémové cesty na soubory řízené útočníkem. Antivirus nebo EDR řešení pak kontroluje „správnou“ cestu, ale ve skutečnosti pracuje s úplně jiným obsahem. Výsledek: škodlivý kód projde, aniž by ho bezpečnostní produkt zaregistroval. Microsoft? Podle Bitdefenderu problém vyhodnotil jako nízkou závažnost, protože zneužití vyžaduje administrátorská práva. Jenže právě tam začíná nejnebezpečnější fáze ransomwarového útoku.

Co jsou bind links a proč ve Windows vůbec existují

Bind links nejsou hackerský nástroj. Jde o oficiálně dokumentovanou funkci Microsoftu, která umožňuje přesměrovat takzvanou virtuální cestu na jinou fyzickou cestu v souborovém systému bez kopírování dat. Microsoft ji navrhl pro kompatibilitu aplikací, virtualizaci a kontejnery. Využívají ji například aplikace z Microsoft Storu, Windows Sandbox nebo kontejnery Windows.

Technicky za tím stojí ovladač bindflt.sys, který běží v jádře systému. Když administrátor vytvoří bind link, systém začne na zadané cestě vracet obsah z jiného umístění. Bind link přitom není soubor ani symbolický odkaz, existuje pouze v interní mapovací tabulce ovladače. V Průzkumníku souborů ho neuvidíte. Po restartu zmizí. Pro forenzní analýzu je to noční můra.

Tři techniky, které oklamou bezpečnostní software

Bitdefender pojmenoval tři konkrétní útočné scénáře:

• File-Binding cílí na jednu důvěryhodnou cestu nebo knihovnu. Typický příklad: útočník přesměruje cestu ke knihovně amsi.dll, přes kterou Windows skenuje skripty v PowerShellu nebo makra v Microsoft Office, na jinou verzi. Antimalwarové rozhraní tím přestane fungovat.
• Process-Binding mění identitu spouštěného procesu. Bezpečnostní produkt vidí cestu k důvěryhodnému systémovému souboru, ale ve skutečnosti se spouští útočníkův kód.
• Silo-Binding je nejsofistikovanější varianta. Vytváří dvě různá „zobrazení“ souborového systému – jedno uvnitř izolovaného sila, druhé mimo něj. Proces běžící v silu má k dispozici zcela jiné soubory, než jaké vidí bezpečnostní nástroje zvenčí.

Právě techniku Silo-Binding Bitdefender demonstroval na konkrétním testu. Skript Invoke-Mimikatz, notoricky známý nástroj pro krádež přihlašovacích údajů, byl při běžném spuštění okamžitě zablokován. Tentýž skript spuštěný uvnitř sila, kde byl PowerShell namapován na identitu důvěryhodného systémového procesu tiworker.exe, prošel bez povšimnutí. Obešel AppLocker, Windows Firewall i hashování v Sysmonu.

Proč Microsoft problém neřeší jako závažný

Podle Bitdefenderu Microsoft po zodpovědném nahlášení problém vyhodnotil jako nízkou závažnost. Argument je jednoduchý: útočník už musí mít administrátorská práva, aby mohl bind link vytvořit. To je formálně pravda – dokumentace funkce CreateBindLink skutečně vyžaduje oprávnění správce.

Jenže Bitdefender staví protiargument, který má v praxi velkou váhu. Ransomwarové skupiny získávají lokální administrátorská oprávnění rutinně, například zneužitím jiné zranitelnosti, ukradenými přihlašovacími údaji nebo sociálním inženýrstvím. Získání administrátorských práv není konec útoku. Je to jeho začátek. Právě v této fázi se rozhoduje, jestli bezpečnostní software škodlivou aktivitu zachytí, nebo jestli ransomware v tichosti zašifruje celou síť.

Microsoft přitom ve Windows 11 24H2 zavedl částečný veto mechanismus, který umožňuje minifiltrovým ovladačům blokovat vytváření bind links. Háček je v tom, že funguje pouze na systémovém oddílu (boot partition) a musí být implementován pod úrovní ovladače BindFlt. Nejde tedy o plošnou opravu a starší verze Windows tuto možnost vůbec nemají. Bitdefender navíc tvrdí, že útok funguje i na Windows 10 od verze RS4, protože útočník může komunikovat přímo s ovladačem bindflt.sys bez použití oficiálního API.

Přímé veřejné stanovisko Microsoftu ke konkrétnímu výzkumu se nepodařilo dohledat. V poznámkách k nejnovější aktualizaci Windows 11 z 28. července 2026 se zmínka o bind links neobjevuje.

Kdo je ohrožen a co s tím

Nejde o stoprocentní slepotu všech antivirů. Zranitelné jsou podle Bitdefenderu především produkty, které spoléhají na cestu k souboru vrácenou standardními notifikačními mechanismy jádra a neověřují skutečný fyzický soubor na pozadí. Bitdefender sám tvrdí, že jeho GravityZone už tuto třídu útoků pokrývá. Jak jsou na tom ostatní produkty, včetně řešení běžně nasazovaných v českých firmách, zatím veřejně otestováno nebylo. Stejně tak zatím není znám veřejně popsaný incident z České republiky, který by bind links zneužíval.

Srovnání s technikou BYOVD (Bring Your Own Vulnerable Driver) je nasnadě. BYOVD vyžaduje nahrání podepsaného, ale zranitelného ovladače. Bind links naopak nepotřebují nic externího – stačí jim legitimní součást Windows a administrátorská oprávnění. Obě techniky ale sdílejí stejné místo v řetězci útoku: fázi po kompromitaci systému, kdy se útočník snaží oslepit obranu před finálním úderem.

Co mohou správci udělat už teď:

• Minimalizovat počet účtů s oprávněním správce a důsledně segmentovat přístupy.
• Zapnout ochranu LSA pro zabezpečení přihlašovacích tajemství.
• Ve Windows 11 24H2 využít dostupný veto mechanismus, byť jde jen o částečnou ochrannou vrstvu.
• Ověřit u dodavatele EDR nebo antiviru, zda jeho produkt pracuje se skutečným backing file, nebo pouze důvěřuje hlášené cestě.

Bitdefender k výzkumu zveřejnil na GitHubu utilitu bindutil, která umožňuje vypsat aktivní mapování bind links v systému. Běžnými nástroji Windows to totiž možné není.

„Admin už to má“ je špatný argument

Celý spor se točí kolem jedné otázky: je získání administrátorských práv konec hry, nebo teprve její začátek? Microsoft svým hodnocením implicitně říká, že po kompromitaci účtu správce je systém stejně ztracený. Bitdefender a s ním i praktické zkušenosti z ransomwarových incidentů tvrdí opak. Právě mezi získáním administrátorských oprávnění a spuštěním ransomwaru existuje okno, ve kterém může kvalitní EDR útok zachytit. Bind links toto okno výrazně zužují.

Funkce, která po restartu zmizí beze stop, nepotřebuje žádný externí ovladač a dokáže bezpečnostní software přesvědčit, že škodlivý proces je důvěryhodný systémový soubor, si zaslouží víc než označení „nízká závažnost“. Minimálně do doby, než Microsoft nabídne víc než částečný veto mechanismus dostupný pouze v jedné verzi systému.