Un driver firmato da Microsoft può diventare un primitive kernel
BTR.sys di Windows Defender mostra che un componente di remediation firmato da Microsoft può diventare un primitive kernel affidabile per operazioni da Ring 0. Check Point ha ricostruito il driver e ha mostrato che non serve un exploit classico per farlo eseguire cambiamenti su file e registry con fiducia nativa.
Il punto non è una vulnerabilità da patchare, ma il modello di fiducia che regge i blocklist dei driver vulnerabili e le allowlist dei driver firmati. Se un controllo presume che i componenti di remediation integrati siano sempre innocui, un driver legittimo può comunque essere usato per disattivare difese endpoint e aggirare i filtri basati sulla firma.
Per chi difende Windows, la lezione è più ampia di BTR.sys: ogni componente Microsoft-signed che tocca il kernel va trattato come potenziale superficie di abuso, non come garanzia di sicurezza. Finché i controlli si fermano alla firma o alla reputazione del driver, questa classe di bypass resta aperta.