Un componente legittimo di Microsoft Defender può essere riutilizzato per eseguire operazioni distruttive a livello kernel, ma solo dopo che l’attaccante ha già ottenuto privilegi amministrativi sufficienti.
È questa la conclusione di Check Point Research, che ha presentato BTR Reforged, una tecnica basata su BTR.sys, il Boot Time Removal Tool integrato in Windows.
Il driver nasce per eliminare file e modificare chiavi del registro che Defender non riesce a gestire mentre il sistema è attivo. Durante il riavvio opera prima del completo avvio dei componenti di sicurezza in user mode. I ricercatori hanno ricostruito il protocollo usato per impartire comandi al driver e pubblicato BTR_CLI, un proof of concept destinato alla verifica e al rilevamento. Non risultano, al momento, prove di attacchi reali.
BTR.sys sfrutta la fiducia del sistema
BTR.sys è incorporato in MpEngine.dll come risorsa denominata BOOTTIMETOOL e viene caricato quando Microsoft Defender deve completare una bonifica durante il boot. Il suo elevato livello di accesso è quindi coerente con la funzione originale: rimuovere elementi bloccati, intervenire sulle directory e modificare il registro prima che Windows abbia completato l’avvio dei normali servizi di protezione.
