Vulnerabilità · 52 giorni fa
BTR.sys di Windows Defender mostra che un componente di remediation firmato da Microsoft può diventare un primitive kernel affidabile per operazioni da Ring 0. Check Point ha ricostruito il driver e ha mostrato che non serve un exploit classico per farlo eseguire cambiamenti su file e registry con fiducia nativa.
Il punto non è una vulnerabilità da patchare, ma il modello di fiducia che regge i blocklist dei driver vulnerabili e le allowlist dei driver firmati. Se un controllo presume che i componenti di remediation integrati siano sempre innocui, un driver legittimo può comunque essere usato per disattivare difese endpoint e aggirare i filtri basati sulla firma.
Per chi difende Windows, la lezione è più ampia di BTR.sys: ogni componente Microsoft-signed che tocca il kernel va trattato come potenziale superficie di abuso, non come garanzia di sicurezza. Finché i controlli si fermano alla firma o alla reputazione del driver, questa classe di bypass resta aperta.
2 fonti che coprono questa storia
Microsoft Defender's Own Driver Can Be Weaponized to Delete Security Software at Boot
BTR Reforged uses Defender's signed BTR.sys with an administrator account and SeLoadDriverPrivilege for kernel file and registry operations.
What if a signed Microsoft remediation driver could be instructed to execute arbitrary file and registry operations from Ring 0 – without exploits, vulnerabilities, or memory corruption?
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-08-24