Ein von Microsoft Defender signierter Treiber kann jeden Antivirus beim Start deaktivieren

Check Point Research hat eine Technik dokumentiert, die den offiziellen Windows Defender-Bootzeit-Treiber BTR.sys nutzt, um Systemdateien auf Kernel-Ebene zu löschen – ohne Ausnutzung einer Schwachstelle und ohne Import eines externen Treibers.

Was passiert

Keine CVE. Kein erwartetes Update. Check Point Research hat eine Technik dokumentiert – informell „Defender-Driver-Abuse“ genannt –, die ein legitimes Windows-Komponente ausnutzt, um Drittanbieter-Sicherheitstools beim Neustart zu deaktivieren.

Der Übeltäter: BTR.sys (Boot Time Removal Tool). Dieser von Microsoft signierte Treiber ist seit Windows 7 in Windows Defender integriert. Seine offizielle Aufgabe: Dateien oder Registrierungsschlüssel während der Startphase zu löschen, bevor Windows seine vollständigen Schutzmechanismen lädt – nützlich, um persistente Rootkits zu neutralisieren, die sich gegen Löschungen im laufenden Betrieb wehren.

Die entdeckte Technik: Ein Angreifer mit Administratorrechten kann Befehle an BTR.sys senden, um beim nächsten Boot beliebige Dateien oder Registrierungsschlüssel löschen zu lassen – einschließlich kritischer Dateien einer EDR-Lösung (Endpoint Detection and Response) oder eines Konkurrenz-Antivirus, die normalerweise durch Kernel-Treiber geschützt sind.

Konkrete Folge: Der Angreifer kann eine Drittanbieter-Sicherheitslösung neutralisieren, ohne einen externen Treiber einzubringen oder eine BYOVD-Warnung (Bring Your Own Vulnerable Driver) auszulösen, da BTR.sys ein offiziell von Microsoft signierter Treiber ist, der bereits auf dem System vorhanden ist.

Fakten vs. Analyse

Fakten:

• Betroffen: Windows 7 bis Windows 11 25H2. Der Umfang ist maximal.
• Voraussetzung: Administratorrechte oder bereits etablierter Kernel-Zugriff. Dies ist eine Post-Exploitations-Technik, kein Eintrittsvektor.
• Microsoft hat kein Update bestätigt: BTR.sys erfüllt genau den Zweck, für den es entwickelt wurde.

Analyse: Das Problem liegt in der Natur der Sache. Ein klassisches BYOVD importiert einen bekannten anfälligen Treiber – moderne EDR-Lösungen haben Sperrlisten (Driver Blocklist). Hier ist der Treiber jedoch sauber von Microsoft signiert, in Windows integriert und steht auf keiner Blacklist. Erkennungstechniken, die auf der Treibersignatur basieren, sind wirkungslos.

Wer ist betroffen

Jeder Windows-Rechner mit aktivem Defender – also die überwiegende Mehrheit der professionellen und privaten Windows-Systeme. Besonders exponiert sind Umgebungen, die sich auf Drittanbieter-EDR-Lösungen (CrowdStrike, SentinelOne etc.) verlassen, ohne eine aktive Überwachung der Startprotokolle.