Check Point Research ha rivelato una tecnica che sfrutta il driver di remediation di Microsoft Defender per eseguire operazioni a livello kernel su Windows, senza sfruttare vulnerabilità software, evidenziando un problema di confine di fiducia architetturale.
Check Point Research ha scoperto una tecnica che consente di utilizzare il driver di remediation di Microsoft Defender, firmato e integrato in Windows, per eseguire operazioni arbitrarie su file e registro a livello kernel, senza sfruttare vulnerabilità note né importare driver esterni. Questa tecnica interessa tutte le versioni di Windows da 7 a 11 25H2 e sfrutta il driver BTR.sys (Boot Time Removal Tool), componente essenziale di Windows che non può essere bloccato senza compromettere Defender stesso.
Come funziona l'attacco e perché è difficile da bloccare
Il ricercatore Jiří Vinopal di Check Point Research ha presentato i risultati a Black Hat USA 2026 e DEF CON 34, pubblicando anche uno strumento proof-of-concept chiamato BTR_CLI. Secondo la ricerca, non ci sono prove che la tecnica sia stata usata in attacchi reali, ma la possibilità di sfruttare un driver di sistema rappresenta un rischio concreto per la sicurezza degli endpoint.
BTR.sys è incorporato in Defender come risorsa BOOTTIMETOOL all'interno di MpEngine.dll e viene attivato per completare la rimozione di malware dopo il riavvio, eliminando file o chiavi di registro bloccati. Vinopal ha decifrato il protocollo proprietario del driver, scoprendo che ogni configurazione inviata è cifrata RC4 con una chiave hard-coded, invariata in tutte le versioni dal 2010.
Dettagli tecnici e dimostrazione pratica
BTR_CLI estrae BTR.sys da MpEngine.dll, costruisce una transazione cifrata valida e installa il driver come servizio tramite scrittura diretta nel registro HKLM, bypassando il Service Control Manager e senza generare eventi di installazione servizio (ID 7045). Una volta caricato, BTR.sys esegue le operazioni pianificate da Ring 0, attribuite al processo System (PID 4), permettendo la cancellazione di file bloccati, lo spostamento di file in percorsi critici come System32\drivers, la modifica e cancellazione di chiavi di registro e la scrittura di nuovi valori.
La tecnica sfrutta la cosiddetta "golden window", ovvero il momento dopo che il filesystem diventa scrivibile ma prima che i servizi user-mode di Defender siano attivi, consentendo la rimozione fisica di componenti di sicurezza come WdFilter.sys e MsMpEng.exe. Durante la dimostrazione a Black Hat, BTR_CLI ha eliminato l'intero stack Defender su una macchina Windows 11 25H2 aggiornata e con Tamper Protection attiva.
Implicazioni di sicurezza e limiti della mitigazione
L'attacco richiede privilegi amministrativi con SeLoadDriverPrivilege, che BTR_CLI può abilitare automaticamente se già presenti. A differenza delle tecniche "bring your own vulnerable driver", qui viene sfruttato un driver Microsoft integrato e non bloccabile tramite blocklist o WDAC senza compromettere Defender.
Check Point Research sottolinea che non si tratta di una vulnerabilità classica, ma di un problema di confine di fiducia architetturale: un amministratore può oltrepassare i limiti previsti dal sistema. Microsoft, informata tramite disclosure responsabile, ha confermato che la tecnica non rientra nei criteri per una patch urgente, poiché richiede già privilegi elevati.
Precedenti e indicatori di compromissione
BTR.sys era già stato analizzato nel 2021 per una vulnerabilità (CVE-2021-24092) che permetteva escalation di privilegi tramite hard link, poi corretta da Microsoft. L'attuale tecnica, però, sfrutta la presenza temporanea e la natura integrata del driver, rendendo difficile la rilevazione e la prevenzione.
Check Point Research suggerisce di monitorare specifici eventi Sysmon e Windows come indicatori di possibile abuso di BTR.sys, tra cui la creazione di stream cifrati con estensione .sys:changelist, la creazione di chiavi servizio con gruppo "Boot Bus Extender" senza evento 7045, e la rapida creazione/cancellazione di BootClean.log da parte del processo System.
Raccomandazioni e disponibilità dello strumento
La principale misura di hardening consigliata è la restrizione dell'assegnazione del privilegio SeLoadDriverPrivilege agli amministratori. Lo strumento BTR_CLI è disponibile su GitHub all'indirizzo github.com/Dump-GUY/BTR_CLI con licenza MIT e binari precompilati.
The Hacker News ha contattato Microsoft e Check Point Research per ulteriori commenti, ma al momento della pubblicazione non erano pervenute risposte.
