A Check Point Research revelou uma técnica que usa o próprio driver de remediação na inicialização do Microsoft Defender, assinado de forma legítima, para executar operações arbitrárias em arquivos e no registro em nível de kernel em sistemas Windows que vão do Windows 7 ao Windows 11 25H2. Segundo a pesquisa, não houve exploração de falha de software nem importação de driver de fora da máquina.
O driver, BTR.sys, sigla para Boot Time Removal Tool, é um componente obrigatório do Windows. Por isso, não pode ser adicionado à Vulnerable Driver Blocklist da Microsoft nem bloqueado pelo Windows Defender Application Control (WDAC) sem afetar o próprio Defender.
Jiří Vinopal, pesquisador de ameaças e engenheiro reverso da Check Point Research, apresentou os resultados em uma palestra principal no Black Hat USA 2026 e na DEF CON 34, em Las Vegas, e publicou o artigo de pesquisa junto com uma ferramenta de prova de conceito, a BTR_CLI, em 20/08/2026. A Check Point Research informou que não encontrou evidências de uso dessa técnica em ataques reais.
“Durante nossa análise em todas as amostras coletadas e fontes de telemetria, não observamos evidências de abuso real do BTR.sys da forma demonstrada nesta pesquisa. Isso sugere que a técnica atualmente é desconhecida ou ainda não está em uso por threat actors, o que torna viável construir detecção de forma proativa antes que a armação apareça no mundo real”, disse a Check Point Research.
O BTR.sys está embutido no MpEngine.dll do Defender como o recurso BOOTTIMETOOL e é acionado quando o Defender precisa concluir a remoção de malware após uma reinicialização, apagando arquivos ou entradas de registro que estavam bloqueados enquanto o Windows estava em execução.
Vinopal fez engenharia reversa do protocolo transacional proprietário e não documentado do driver e descobriu que cada bloco de configuração enviado ao BTR.sys é criptografado com RC4 e uma chave de 256 bytes codificada diretamente na seção .rdata de cada build do BTR.sys lançado desde o Windows 7. A pesquisa verificou que a chave permaneceu inalterada em 18 versões exclusivas de 64 bits.
A ferramenta de prova de conceito, BTR_CLI, localiza o MpEngine.dll nas Atualizações de Definições do Defender e extrai o binário embutido do BTR.sys.
Em seguida, a ferramenta monta uma transação criptografada válida. Depois, instala o driver como serviço por meio de gravações diretas no registro em HKLM, usando Type=1, Start=1 e Group="Boot Bus Extender". Esse método contorna totalmente o Service Control Manager e não gera o evento 7045 do Windows, que indica instalação de serviço.
Quando carregado, o BTR.sys executa as operações enfileiradas a partir do Ring 0, com atribuição de telemetria ao processo System (PID 4), e pode excluir arquivos e diretórios bloqueados, mover arquivos para caminhos sem restrição, incluindo System32\drivers, apagar chaves e valores do registro e gravar novos valores de qualquer tipo.
Um segundo modo de acionamento agenda essas operações para a próxima reinicialização.
O driver então é executado durante o que Vinopal chama de “janela de ouro”, o intervalo entre o momento em que o sistema de arquivos se torna gravável e o início dos serviços em modo usuário do Defender. Isso permite que o BTR.sys remova fisicamente binários de segurança, como WdFilter.sys e MsMpEng.exe, antes que eles consigam se proteger.
Em uma demonstração ao vivo no Black Hat, a BTR_CLI apagou toda a pilha do Defender de uma máquina com Windows 11 25H2 totalmente atualizada e com Tamper Protection ativado.
A exploração exige uma conta de administrador com SeLoadDriverPrivilege, privilégio que a BTR_CLI habilita automaticamente para contas que já o possuem.
Diferentemente de ataques que usam a técnica bring your own vulnerable driver, baseada em drivers assinados de terceiros já conhecidos por serem vulneráveis e que podem ser adicionados a bloqueios, a técnica BTR Reforged usa um driver presente em todas as instalações do Windows desde o Windows 7.
“O problema não é uma vulnerabilidade no sentido tradicional, mas sim um limite de confiança arquitetural que pode ser cruzado se um atacante já tiver privilégios administrativos. Após a divulgação responsável, o MSRC confirmou que essas descobertas não atendem aos critérios para correção imediata, já que a técnica depende de privilégios administrativos pré-existentes (SeLoadDriverPrivilege)”, afirmou a Check Point Research no artigo.
O repositório da BTR_CLI no GitHub acrescenta que “No patch is planned”, uma caracterização que a Microsoft não confirmou publicamente.
O BTR.sys já havia sido analisado por pesquisadores de segurança por outra falha no mesmo driver cinco anos antes.
Em fevereiro de 2021, o pesquisador da SentinelLabs Kasif Dekel divulgou a
CVE-2021-24092
, uma falha de escalonamento de privilégios que permitia a um usuário local sem perfil de administrador sobrescrever arquivos arbitrários ao criar um hard link no caminho do log do driver. A Microsoft corrigiu a
CVE-2021-24092
em 09/02/2021.
“Assumimos que essa vulnerabilidade permaneceu sem descoberta até agora porque o driver normalmente não está presente no disco rígido, mas é carregado e ativado quando necessário, com um nome aleatório, e depois removido”, disse Kasif Dekel na divulgação da SentinelLabs.
O uso de um driver nativo do Windows como primitivo ofensivo de kernel, em vez de um driver vulnerável de terceiros, já havia sido demonstrado no contexto do AvNeutralizer, do FIN7, que armou o driver ProcLaunchMon.sys do Windows junto com o driver do Process Explorer para adulterar software de segurança de endpoint.
A Check Point Research informou que a investigação que levou a essas descobertas teve uma origem incomum.
“Esta pesquisa começou durante uma investigação de resposta a incidente envolvendo um sistema comprometido, em que certa telemetria de endpoint parecia suspeita, mas acabou sendo atribuída a uma atividade legítima de remediação do Windows Defender”, afirmou a Check Point Research no artigo.
A Check Point Research identificou as seguintes condições de eventos no Sysmon e no Windows como indicadores de possível abuso do BTR.sys:
Sysmon Event ID 15 (FileCreateStreamHash), quando o nome do arquivo de destino termina em .sys:changelist, capturando o fluxo de dados alternativo da configuração criptografada gravado no arquivo do driver;
RegistryEvent, com Sysmon Event ID 12 ou 13, criando uma chave de serviço cujo valor Args contenha :changelist e cujo Group seja "Boot Bus Extender", especialmente quando não houver um evento 7045 do Windows (Service Installed);
Sysmon Event IDs 11 (FileCreate) e 23 (FileDelete), registrando a criação e exclusão rápidas de \SystemRoot\Temp\BootClean.log pelo processo System (PID 4), um caminho de log codificado no driver que é acionado independentemente de quem chamou;
Sysmon Event ID 6 (DriverLoad) seguido imediatamente por Sysmon Event ID 23 (FileDelete), atribuído ao processo System (PID 4), a assinatura de execução em modo kernel de um acionamento ativo do BTR.sys.
A Check Point Research também recomenda restringir a atribuição de SeLoadDriverPrivilege como principal medida de fortalecimento.
A BTR_CLI está disponível em github.com/Dump-GUY/BTR_CLI sob licença MIT, com binários x64 e x86 já compilados anexados aos releases do repositório.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...