Spcnet.it

2026-06-26 11:05:20

Gestire Microsoft Defender Antivirus con PowerShell: cmdlet pratici per sysadmin

Microsoft Defender Antivirus è il componente di sicurezza integrato in Windows 10, Windows 11 e Windows Server 2016 e successivi. Spesso gestito tramite interfaccia grafica o Group Policy, offre però un set completo di cmdlet PowerShell che permettono una gestione programmatica potente, particolarmente utile in ambienti server headless, pipeline di automazione e script di provisioning.

In questo articolo esploriamo i cmdlet principali, con esempi pratici di utilizzo per la gestione quotidiana da parte di amministratori di sistema.

Prerequisiti e Accesso

I cmdlet di Defender sono disponibili per impostazione predefinita su Windows 10/11 e Windows Server 2016+. Per usarli è necessario aprire PowerShell come amministratore.

# Verifica che il modulo Defender sia disponibile
Get-Module -ListAvailable -Name Defender

# Per visualizzare la documentazione completa di qualsiasi cmdlet
Get-Help <cmdlet> -Online

Nota importante: le modifiche apportate via PowerShell agiscono sulle impostazioni locali del dispositivo. Politiche distribuite tramite Microsoft Intune, Group Policy o Configuration Manager possono sovrascriverle. Pianificare di conseguenza nelle architetture gestite centralmente.

Verificare lo Stato della Protezione

Il punto di partenza è sempre capire in che stato si trova il sistema.

# Stato complessivo di Defender Antivirus
Get-MpComputerStatus

# Output selettivo: solo i campi più rilevanti
Get-MpComputerStatus | Select-Object `
  AntivirusEnabled, `
  RealTimeProtectionEnabled, `
  BehaviorMonitorEnabled, `
  IoavProtectionEnabled, `
  NISEnabled, `
  QuickScanAge, `
  FullScanAge, `
  AntivirusSignatureLastUpdated, `
  AntivirusSignatureVersion

QuickScanAge e FullScanAge indicano da quanti giorni non viene eseguita una scansione rapida o completa. Un valore molto alto può indicare un problema di pianificazione. AntivirusSignatureLastUpdated è critico: firme obsolete riducono drasticamente l’efficacia della protezione.

Configurare le Preferenze con Set-MpPreference

Set-MpPreference è il cmdlet centrale per la configurazione. Permette di intervenire su centinaia di parametri.

Protezione in Tempo Reale

# Abilitare la protezione in tempo reale (default: abilitata)
Set-MpPreference -DisableRealtimeMonitoring $false

# Abilitare il monitoraggio comportamentale
Set-MpPreference -DisableBehaviorMonitoring $false

# Abilitare la protezione cloud-delivered (MAPS)
Set-MpPreference -MAPSReporting Advanced
Set-MpPreference -SubmitSamplesConsent SendAllSamples

Gestire le Esclusioni

Le esclusioni sono necessarie in ambienti dove certi processi o directory generano falsi positivi, ma vanno gestite con attenzione: sono uno dei vettori sfruttati dagli attaccanti (come visto nel caso TonRAT).

# Aggiungere un percorso alle esclusioni
Add-MpPreference -ExclusionPath "C:\AppData\MyApp\cache"

# Aggiungere un processo alle esclusioni
Add-MpPreference -ExclusionProcess "msbuild.exe"

# Aggiungere un’estensione file alle esclusioni
Add-MpPreference -ExclusionExtension ".log"

# Verificare le esclusioni configurate
Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess, ExclusionExtension

# Rimuovere una singola esclusione
Remove-MpPreference -ExclusionPath "C:\AppData\MyApp\cache"

Best practice: documentare ogni esclusione con il motivo tecnico e revisionarle periodicamente. Un’esclusione dimenticata è una superficie di attacco aperta.

Pianificazione delle Scansioni

# Impostare una scansione rapida giornaliera alle 03:00
Set-MpPreference -ScanScheduleDay Everyday
Set-MpPreference -ScanScheduleTime 03:00:00

# Impostare una scansione completa settimanale alla domenica alle 02:00
Set-MpPreference -ScanParameters FullScan
Set-MpPreference -ScanScheduleDay Sunday
Set-MpPreference -ScanScheduleTime 02:00:00

# Abilitare la scansione dei file email e degli archivi compressi
Set-MpPreference -DisableEmailScanning $false
Set-MpPreference -DisableArchiveScanning $false

Aggiornare le Definizioni Antivirus

# Aggiornare le signature immediatamente
Update-MpSignature

# Aggiornare da un percorso UNC condiviso (es. WSUS o share locale)
Update-MpSignature -UpdateSource InternalDefinitionUpdateServer

# Verificare la versione corrente delle signature
(Get-MpComputerStatus).AntivirusSignatureVersion
(Get-MpComputerStatus).AntivirusSignatureLastUpdated

In ambienti con dispositivi offline o in reti segmentate, la distribuzione delle signature tramite share UNC o WSUS è essenziale. Update-MpSignature supporta diversi source: MicrosoftUpdateServer, MMPC, InternalDefinitionUpdateServer, FileShares.

Avviare Scansioni Manuali

# Scansione rapida
Start-MpScan -ScanType QuickScan

# Scansione completa
Start-MpScan -ScanType FullScan

# Scansione di un percorso specifico (custom scan)
Start-MpScan -ScanType CustomScan -ScanPath "D:\Downloads"

# Avviare in modo asincrono (non blocca la shell)
Start-MpScan -ScanType QuickScan -AsJob

Rilevare e Gestire le Minacce

# Visualizzare le minacce rilevate attualmente attive
Get-MpThreat

# Visualizzare lo storico delle rilevazioni (incluse quelle già gestite)
Get-MpThreatDetection

# Output dettagliato di una singola minaccia per ID
Get-MpThreat | Where-Object { $_.ThreatID -eq 12345 } | Format-List *

# Rimuovere tutte le minacce attive in quarantena
Remove-MpThreat

Performance Analyzer: Individuare i Colli di Bottiglia

Se Defender causa rallentamenti, il Performance Analyzer integrato aiuta a identificare quali file, processi o estensioni impattano maggiormente sui tempi di scansione:

# Avviare la raccolta dati per 60 secondi
New-MpPerformanceRecording -RecordTo "C:\Temp\DefenderPerf.etl"

# Analizzare i risultati: top 10 file più lenti da scansionare
Get-MpPerformanceReport -Path "C:\Temp\DefenderPerf.etl" `
  -TopFiles 10 `
  -TopScansPerFile 5 `
  -TopProcessesPerFile 5

Automazione: Script di Audit Difensivo

Uno script di audit rapido da eseguire periodicamente su ogni macchina o tramite PSRemoting su più host:

function Get-DefenderAudit {
  $status = Get-MpComputerStatus
  $prefs  = Get-MpPreference

  [PSCustomObject]@{
    ComputerName            = $env:COMPUTERNAME
    AVEnabled               = $status.AntivirusEnabled
    RealTimeProtection      = $status.RealTimeProtectionEnabled
    SignatureAge_Days       = ((Get-Date) - $status.AntivirusSignatureLastUpdated).Days
    SignatureVersion        = $status.AntivirusSignatureVersion
    LastQuickScan_Days      = $status.QuickScanAge
    LastFullScan_Days       = $status.FullScanAge
    ExclusionPathCount      = @($prefs.ExclusionPath).Count
    ExclusionProcessCount   = @($prefs.ExclusionProcess).Count
    CloudProtection         = $prefs.MAPSReporting
  }
}

# Esecuzione locale
Get-DefenderAudit | Format-List

# Esecuzione remota su più host
$servers = @("SRV01", "SRV02", "SRV03")
Invoke-Command -ComputerName $servers -ScriptBlock ${Function:Get-DefenderAudit} |
  Sort-Object SignatureAge_Days -Descending |
  Format-Table -AutoSize

Conclusione

I cmdlet PowerShell di Microsoft Defender Antivirus offrono un controllo granulare e scriptabile su ogni aspetto della protezione, rendendoli uno strumento fondamentale per i sysadmin che gestiscono flotte di macchine Windows. Integrarli in pipeline di provisioning, script di audit periodici e runbook di incident response è una pratica che migliora significativamente la postura di sicurezza senza dipendere da interfacce grafiche.

Ricorda: le modifiche via PowerShell sono locali e possono essere sovrascritte da GPO o Intune. In ambienti gestiti centralmente, usa PowerShell per audit e diagnostica, e riserva la configurazione permanente agli strumenti di management centralizzato.

Fonte: 4sysops.com | Documentazione ufficiale: Microsoft Learn

Managing Microsoft Defender Antivirus through PowerShell cmdlets – 4sysops

Microsoft Defender Antivirus provides a robust set of PowerShell cmdlets for managing security features on Windows 10, Windows 11, and Windows Server 2016 or la

^{IT News (4sysops)}

Patrick Breyer

2026-06-26 09:43:09

Montag droht der #Chatkontrolle-Worst-Case:
👁️ Verpflichtende Massenscans privater Nachrichten
🆔 Alterskontrolle für Messenger (= Ende der Anonymität!)

📰 Hintergrund im Blog: patrick-breyer.de/doppelte-gef…
🛡️ Noch bis Montag könnt ihr PROTESTIEREN: fightchatcontrol.de

„Doppelte Gefahr“ für private Kommunikation: Undemokratische Hinterzimmer-Deals zur Chatkontrolle lassen Widerstand wieder aufflammen

Bürgerrechtler Dr. Patrick Breyer warnt vor einem beispiellosen "Doppelangriff" auf sichere Messenger im Vorfeld kritischer EU-Sitzungen am heutigen Freitag und am Montag. Auch die Bundesregierung spielt eine gefährliche Rolle.

^{Patrick Breyer}

Len 🍉

2026-06-18 18:30:04

Posnetek #tehnoklistir o #EU strategiji za #odprtakoda je naložen na splet. Gost oddaje je @johas koordinator @fsfe za Nemčijo in član skupine za politiko. Vabljeni k poslušanju.

#radiostudent #podcast 📻️

radiostudent.si/druzba/tehno-k…

Evropska strategija za odprto kodo

^{Radio Študent}

(in)sicurezza digitale

2026-06-25 14:00:03

Kit AiTM contro AWS: Datadog svela una campagna di phishing che bypassa l’MFA in tempo reale

Si parla di:
Toggle

Tra il 16 e il 19 giugno 2026, i ricercatori di Datadog Security Research hanno osservato una campagna di phishing altamente sofisticata contro la console AWS. Non si tratta del classico furto di credenziali: il kit implementa tecniche adversary-in-the-middle (AiTM) che permettono di catturare i codici MFA in tempo reale, bypassando email, SMS e app di autenticazione TOTP. Un’analisi tecnica dettagliata pubblicata il 24 giugno svela l’architettura del kit, gli IoC e le tecniche di delivery utilizzate.

La campagna: tre domini in 48 ore

La campagna si è concretizzata con la registrazione di tre domini in una finestra di soli due giorni, tutti attraverso il registrar NICENIC INTERNATIONAL GROUP CO., LIMITED e ospitati su infrastruttura Cloudflare. I domini impersonavano con fedeltà la pagina di login della console AWS:

• us-west-login[.]com (registrato il 18 giugno 2026) — con sottodomini aws.us-west-login[.]com e aws-central.us-west-login[.]com
• us-east-prod[.]com (registrato il 17 giugno 2026) — con sottodominio aws.us-east-prod[.]com
• loginportal-aws[.]com (registrato il 16 giugno 2026)

In parallelo, sono stati identificati altri tre domini che impersonavano SendGrid, registrati nello stesso arco temporale attraverso lo stesso registrar. La doppia infrastruttura — AWS e SendGrid — suggerisce che gli attaccanti abbiano progettato un sistema integrato: SendGrid per la consegna delle email di phishing, i cloni AWS per la raccolta delle credenziali.

Come funziona il kit: AiTM in tempo reale

La caratteristica più pericolosa di questo kit non è la clonazione della pagina login, ma la capacità di intercettare e ritrasmettere il secondo fattore di autenticazione in tempo reale. Il flusso si articola in più fasi:

1. Validazione del target prima del rendering: quando la vittima accede alla pagina di phishing, il kit legge il parametro URL input_24 contenente un blob base64 cifrato. Il server decodifica l’indirizzo email della vittima e lo imposta come cookie. Solo se l’email è valida e registrata come target, la pagina viene effettivamente renderizzata — una misura anti-sandbox che rende inutile l’analisi automatica senza una email vittima valida.

// Logica di validazione dell'indirizzo vittima
let e = new URLSearchParams(window.location.search).get(`input_24`);
(e ? fetch(`/api/check`, {
  method: `POST`,
  body: JSON.stringify({ encrypted: e }),
  credentials: `include`
}) : Promise.resolve({ ok: !1 }))
.then(e => e.ok ? e.json() : null)
.then(() => fetch(`/api/me`, { credentials: `include` }))
.then(e => e.json())
.then(e => t(e.email || null))

2. Furto delle credenziali primarie: la pagina clonata raccoglie username e password tramite i form di login AWS (sia account root che IAM) e li invia a /api/login. Il server, agendo come proxy verso la vera console AWS, ottiene in risposta quale tipo di MFA è configurato sull’account.

3. Intercettazione dell’MFA in real-time: il kit presenta alla vittima la challenge MFA corrispondente al secondo fattore configurato — /email, /sms, o /gauth per le app TOTP. Il codice inserito viene intercettato e ritrasmesso immediatamente al server AWS legittimo, completando l’autenticazione prima che il codice scada.

Delivery: phishing mirato via SendGrid e Nimbu

Il 19 giugno 2026 è apparso su VirusTotal un batch file che funge da artefatto di validazione dell’infrastruttura. Il file contiene la struttura di un’email di phishing che impersona il supporto AWS, citando un ticket di supporto fasullo su presunto throttling della banda. La consegna avviene tramite piattaforme email legittime come SendGrid e Nimbu, scelta tattica che permette di passare i controlli SPF/DKIM/DMARC e bypassare i filtri antispam aziendali.

L’uso del parametro input_24 per la validazione dell’email suggerisce inoltre che si tratti di una campagna di spear phishing mirato piuttosto che mass phishing: ogni link contiene l’email cifrata della specifica vittima, rendendo impossibile l’accesso alla pagina di phishing senza il link personalizzato.

TTPs e mapping MITRE ATT&CK

• T1566.002 — Spearphishing Link: link personalizzati con email cifrata per targeting preciso
• T1111 — MFA Interception: cattura in real-time di email OTP, SMS e codici TOTP
• T1056.001 — Keylogging: raccolta di username, password e codici di verifica prima del forwarding
• T1583.001 — Acquire Infrastructure: Domains: tre domini registrati nello stesso arco di 48 ore
• T1133 — External Remote Services: targeting dell’accesso alla console AWS

Indicatori di compromissione (IoC)

# Domini AWS phishing
us-west-login[.]com
aws.us-west-login[.]com
aws-central.us-west-login[.]com
us-east-prod[.]com
aws.us-east-prod[.]com
loginportal-aws[.]com

# Registrar comune
NICENIC INTERNATIONAL GROUP CO., LIMITED

# Infrastruttura di hosting
Cloudflare (tutti i domini)

# Endpoint API del kit
/api/check   - validazione email vittima
/api/me      - recupero email da cookie
/api/login   - furto credenziali e identificazione MFA
/email       - challenge MFA via email
/sms         - challenge MFA via SMS
/gauth       - challenge MFA via TOTP

# Parametro URL di targeting
input_24 (blob base64 cifrato contenente email vittima)

Come rilevare l’attacco

Datadog consiglia le seguenti azioni di hunting per chi sospetti di essere stato targetizzato:

• DNS hunting: verificare la presenza nei log DNS di query verso i domini elencati negli IoC, inclusi i sottodomini
• CloudTrail monitoring: controllare eventi ConsoleLogin da IP inusuali o da località geografiche anomale, soprattutto a ridosso delle date di campagna (16-19 giugno 2026)
• Email gateway review: cercare email provenienti da SendGrid o Nimbu che contengano link con il parametro input_24 nell’URL
• Credential review: se si sospetta compromissione, revocare immediatamente le sessioni AWS attive, ruotare le credenziali e abilitare notifiche di accesso non familiare

La sofisticazione di questo kit — targeting selettivo, bypass MFA in real-time, uso di infrastrutture email legittime — lo colloca in una categoria diversa rispetto al phishing di massa. Le organizzazioni che utilizzano AWS in ambienti enterprise dovrebbero trattare questa campagna come un rischio attivo, non come una minaccia teorica.