Драйвер, подписанный Microsoft Defender, может уничтожить любой антивирус при загрузке.

Check Point Research задокументировали технику, которая использует BTR.sys, официальный загрузочный драйвер Windows Defender, для удаления системных файлов на уровне ядра — без эксплуатации уязвимостей, без импорта внешнего драйвера.

Что происходит

Нет CVE. Ожидаемых исправлений нет. Исследователи Check Point Research задокументировали технику — неофициально названную «Defender-driver abuse» — которая эксплуатирует легитимный компонент Windows для отключения сторонних средств безопасности при перезагрузке.

Виновник: BTR.sys (Boot Time Removal Tool). Этот драйвер, подписанный Microsoft, встроен в Windows Defender начиная с Windows 7. Его официальная задача: удалять файлы или ключи реестра во время фазы загрузки, до того как Windows загрузит все свои защиты — полезно для нейтрализации персистентных руткитов, устойчивых к горячему удалению.

Обнаруженная техника: злоумышленник с правами администратора может отправлять команды BTR.sys, чтобы заставить его удалить при следующей загрузке любой файл или ключ реестра — включая критически важные файлы EDR (Endpoint Detection and Response) или конкурирующего антивируса, которые обычно заблокированы драйверами в режиме ядра.

Результат: злоумышленник может нейтрализовать стороннее решение безопасности, не импортируя внешний драйвер и не вызывая предупреждений BYOVD (Bring Your Own Vulnerable Driver), поскольку BTR.sys — официально подписанный Microsoft драйвер, уже присутствующий на машине.

Факты vs анализ

Факты:

• Влияние: от Windows 7 до Windows 11 25H2. Диапазон максимальный.
• Предпосылки: права администратора или уже установленный доступ к ядру. Это техника постэксплуатации, а не вектор первоначального проникновения.
• Microsoft не подтвердила наличие исправления: BTR.sys выполняет именно ту задачу, для которой был разработан.

Анализ: Проблема именно в природе атаки. Классический BYOVD импортирует известный уязвимый драйвер — современные решения EDR имеют списки блокировки (driver blocklist). Здесь же драйвер правильно подписан Microsoft, интегрирован в Windows и не числится в чёрных списках. Методы обнаружения, основанные на подписи драйвера, не работают.

Кого это касается

Любые машины под управлением Windows с активным Defender — то есть подавляющее большинство корпоративных и домашних систем Windows. Наиболее уязвимые среды: те, что полагаются на сторонние решения EDR (CrowdStrike, SentinelOne и др.) без активного мониторинга журналов загрузки.