Il 19 maggio 2026 i ricercatori di Varonis Threat Labs hanno pubblicato GhostTree, una tecnica di evasione che neutralizza gli scanner endpoint usando solo feature native di Windows. Due righe di codice e una junction NTFS bastano a generare circa 8,5×1037 percorsi directory, mandando in hang il motore di scansione e lasciando payload maligni invisibili nella cartella radice.
L'incidente ha esposto un dibattito più ampio: quando un antivirus può essere disattivato tramite il normale funzionamento del filesystem, chi detiene il confine di sicurezza?
- GhostTree usa il comando
mklink /Jdi Windows per creare loop ricorsivi di directory junction, senza richiedere privilegi amministrativi. - La variante avanzata genera circa 2126 percorsi distinti, superando di oltre 28 ordini di grandezza il numero di atomi nel corpo umano.
- Varonis ha testato e confermato l'hang di Windows Defender: la scansione della cartella genitore diventa impossibile, i file maligni restano non esaminati.
- Microsoft ha inizialmente respinto il bug report con la motivazione che aggirare Defender non costituisce violazione di un security boundary, poi ha patchato.
Come funziona l'esplosione combinatoria dei percorsi
La tecnica si fonda sui reparse point NTFS, meccanismi del filesystem che permettono di creare punti di giunzione tra directory. In Windows, qualsiasi utente con permessi di scrittura su una cartella può istruirne un'altra a fungere da passaggio verso di essa.
Il comando è elementare: mklink /J C:\Parent\Child C:\Parent. Il figlio punta al genitore, il genitore contiene il figlio, il loop è servito.
Varonis ha sviluppato due varianti. GhostBranch, la forma base, crea una singola junction ricorsiva che produce circa 126 livelli di nidificazione prima di raggiungere il limite MAX_PATH di 260 caratteri. È già sufficiente a intrappolare scanner ricorsivi.
GhostTree, la variante avanzata, moltiplica la struttura: multiple directory figlie puntano tutte allo stesso genitore, generando un albero binario dove ogni nodo può essere attraversato scegliendo tra due rami. Il calcolo matematico è esplicito: 2126 nodi possibili, circa 8,5×1037.
Per contestualizzare, Varonis confronta questo numero con i circa 1027 atomi in un corpo umano e gli 8,5×1018 granelli di sabbia stimati sulla Terra.
L'effetto pratico non è teoria. Quando un scanner EDR incontra questa struttura e tenta l'attraversamento ricorsivo, il motore di scansione viene completamente assorbito dal loop directory. Come documenta la prova di Varonis: "The scan hangs. The malicious files go unexamined".
I payload collocati nella directory radice — quella che l'utente o il processo maligno ha creato — restano fuori dal perimetro di ispezione.
Il test contro Windows Defender e il rifiuto iniziale di Microsoft
Varonis ha validato la tecnica su Windows Defender, l'EDR predefinito di milioni di sistemi enterprise. La fonte non specifica test su altri prodotti endpoint, né documenta se vendor di sicurezza terzi siano risultati vulnerabili nelle stesse condizioni.
Questo è un limite rilevante: la ricerca è a firma singola, senza replicazione indipendente verificata da altri laboratori o CERT nazionali.
La disclosure a Microsoft ha seguito un percorso segnato dal contrasto tra visioni del rischio. Il vendor OS ha inizialmente chiuso il bug report con una frase che i ricercatori hanno riportato testualmente: "bypassing Defender is not crossing a security boundary".
La posizione implicava che la funzionalità delle junction NTFS operasse come progettato, e che l'onere di gestire il rischio ricadesse su chi configura le policy di sistema.
"With just two lines of code, a user can generate endless valid paths, making it impossible to finish scanning parent directories" — Varonis Threat Labs
La patch successiva, riferita da tutte e quattro le fonti editoriali ma senza identificatore KB o advisory strutturato da Microsoft, ha rovesciato quella posizione iniziale. Il dossier non chiarisce se la correzione agisca a livello di NTFS, di API di scansione generica, o specificamente del motore Defender.
Manca altresì la data esatta di rilascio e le versioni di Windows interessate.
Cosa fare adesso
Le organizzazioni che si affidano a Windows Defender devono verificare l'applicazione della patch Microsoft per la vulnerabilità di scansione ricorsiva, monitorando gli aggiornamenti del motore antimalware. Non è disponibile un identificatore KB specifico nel dossier Varonis.
I team di sicurezza dovrebbero implementare il monitoraggio della creazione di junction NTFS ricorsive tramite strumenti di data-layer monitoring, approccio coerente con la metodologia dimostrata da Varonis. La rilevazione del comando mklink /J con target che punta a directory ancestrali offre un indicatore comportamentale specifico.
Va valutata la limitazione dei permessi di creazione junction per utenti standard, bilanciando necessità operative e riduzione della superficie d'attacco. La fonte primaria documenta esplicitamente che "any user can create them. No admin privileges are required, and no special permissions beyond write access to the target folder": questo abbassa la barriera all'ingresso e amplifica il rischio in ambienti enterprise con molti utenti a privilegi standard.
I responsabili della sicurezza devono considerare che la patch Microsoft è stata testata e confermata solo per Windows Defender. Non emerge documentazione su copertura per altri prodotti EDR: vendor terzi devono essere interrogati direttamente su eventuali correzioni autonome.
Perché è importante
GhostTree solleva tre questioni strutturali che il settore dovrà affrontare. Primo: la fiducia negli EDR come ultima linea di difesa è calcolabile solo se il prodotto resiste ad attacchi che usano il filesystem stesso.
Secondo: la definizione di "security boundary" da parte dei vendor OS può mutare sotto pressione, generando incertezza normativa per chi gestisce la compliance. Microsoft ha prima chiuso il report, poi patchato: questa oscillazione lascia chi gestisce sistemi enterprise senza parametri stabili per valutare il rischio.
Terzo: l'assenza di privilegi elevati nell'esecuzione abbassa drasticamente la barriera all'ingresso, rendendo la tecnica operabile in ambienti dove l'utente ha solo diritti standard — ovvero la maggior parte delle postazioni aziendali.
Restano zone grigie. Il dossier non documenta se la tecnica funzioni con path estesi oltre 260 caratteri, abilitabili via registry key. Non conferma se esistano exploit in-the-wild o se la minaccia resti confinata a proof-of-concept di ricerca.
FAQ
- GhostTree è una vulnerabilità di Windows NTFS?
- No. Si tratta di abuso di funzionalità legittime del filesystem, non di un bug nel codice NTFS. Le junction sono strumenti di sistema documentati; la novità sta nel pattern di uso che genera denial-of-service degli scanner.
- Serve un account amministratore per eseguire l'attacco?
- No. Secondo la fonte primaria, bastano permessi di scrittura sulla cartella target. La citazione esplicita è: "any user can create them. No admin privileges are required, and no special permissions beyond write access to the target folder".
- La patch Microsoft protegge tutti gli EDR?
- Il dossier non lo stabilisce. Varonis ha testato esplicitamente Windows Defender; non emerge documentazione su altri prodotti endpoint né su patch autonome rilasciate da vendor terzi.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://cybersecuritynews.com/ghosttree-attack-edr-products/
- https://cyberpress.org/ghosttree-attack-edr-tools/
- https://www.varonis.com/blog/ghosttree-ntfs-trick
- https://gbhackers.com/new-ghosttree-attack-causes-edr-tools/
- https://cybersecuritynews.com/best-edr-tools/