Tamper protection is now generally available in Microsoft Defender ATP

[jmtella]

https://www.neowin.net/news/tamper-protection-is-now-generally-available-in-microsoft-defender-atp

[noSign]

Para activarlo (Windows Enterprise 18363.418).:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Features

Value "0" Disable Value "5" Enable
Pero no me deja cambiarlo, he usado NSudo para tomar posesion de regedit y nada (antes con nsudo -ti abria como Administrador y ya no funciona)

[jmtella]

Para activarlo (Windows Enterprise 18363.418).:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Features

Value "0" Disable Value "5" Enable
Pero no me deja cambiarlo, he usado NSudo para tomar posesion de regedit y nada (antes con nsudo -ti abria como Administrador y ya no funciona)

NSudo.exe -U:T -P:E cmd

y desde la consola... REGEDIT.

[noSign]

NSudo.exe -U:T -P:E cmd

y desde la consola... REGEDIT.

C:\NSudo.exe -U:T -P:E cmd.exe /c regedit y nada

[jmtella]

C:\NSudo.exe -U:T -P:E cmd.exe /c regedit y nada

Usa el nsudo 7.0 que dejé por estos grupos... a ver... (ahora no puedo probarlo...)

[noSign]

Usa el nsudo 7.0 que dejé por estos grupos... a ver... (ahora no puedo probarlo...)

C:\NSudoC.exe -U:T -P:E cmd.exe /c regedit con el nsudo 7.0 nada

[jmtella]

C:\NSudoC.exe -U:T -P:E cmd.exe /c regedit con el nsudo 7.0 nada

Lo acabo de probar y efectivamente NO DEJA TOCAR ese valor. Y no se que protección tiene pero no son permisos... ya que ha comprobado que si creo un nuevo valor es precisamente como TrustedInstaller… por tanto NSUDO funciona bien pero esa clave tiene algo "especial"... y me pica la curiosidad...

[jmtella]

Lo acabo de probar y efectivamente NO DEJA TOCAR ese valor. Y no se que protección tiene pero no son permisos... ya que ha comprobado que si creo un nuevo valor es precisamente como TrustedInstaller… por tanto NSUDO funciona bien pero esa clave tiene algo "especial"... y me pica la curiosidad...

Descubierto!... si paras windows defender y sobre todo desactivas esto, te deja tocar dicho valor con NSUDO.

[noSign]

Tome posesion del regedit como dices, por ir probando
takeown /f %systemroot%\regedit.exe
icacls "%systemroot%\regedit.exe" /grant:r Administradores:F /c

Y nada.

[noSign]

Descubierto!... si paras windows defender y sobre todo desactivas esto, te deja tocar dicho valor con NSUDO.

Correcto, ahora si funca

[jmtella]

Correcto, ahora si funca

El NSDUO tiene todos los permisos... si no puede modificar algo, es que ese "algo" está pillado... (fichero abierto, o bien clave leida con opción de bloqueo, etc... y en esos casos hay que parar el proceso que lo tiene pillado)