Microsoft Defender, un suo driver può eliminare gli antivirus all'avvio

Un componente legittimo di Microsoft Defender può essere riutilizzato per eseguire operazioni distruttive a livello kernel, ma solo dopo che l’attaccante ha già ottenuto privilegi amministrativi sufficienti.

È questa la conclusione di Check Point Research, che ha presentato BTR Reforged, una tecnica basata su BTR.sys, il Boot Time Removal Tool integrato in Windows.

Il driver nasce per eliminare file e modificare chiavi del registro che Defender non riesce a gestire mentre il sistema è attivo. Durante il riavvio opera prima del completo avvio dei componenti di sicurezza in user mode. I ricercatori hanno ricostruito il protocollo usato per impartire comandi al driver e pubblicato BTR_CLI, un proof of concept destinato alla verifica e al rilevamento. Non risultano, al momento, prove di attacchi reali.

BTR.sys sfrutta la fiducia del sistema

BTR.sys è incorporato in MpEngine.dll come risorsa denominata BOOTTIMETOOL e viene caricato quando Microsoft Defender deve completare una bonifica durante il boot. Il suo elevato livello di accesso è quindi coerente con la funzione originale: rimuovere elementi bloccati, intervenire sulle directory e modificare il registro prima che Windows abbia completato l’avvio dei normali servizi di protezione.

Il problema individuato da Check Point non corrisponde al modello Bring Your Own Vulnerable Driver. L’attaccante non deve introdurre un driver esterno vulnerabile, perché BTR.sys è un componente Microsoft firmato e già presente nel sistema. Bloccarlo tramite la Vulnerable Driver Blocklist o mediante WDAC potrebbe compromettere una funzione necessaria di Defender.

Attraverso il reverse engineering, i ricercatori hanno analizzato 18 versioni x64 del driver, da Windows 7 in poi, e hanno ricostruito un protocollo non documentato. Le richieste vengono cifrate con RC4 usando una chiave incorporata nel driver e possono concatenare operazioni su file e chiavi del registro.

Una tecnica potente ma non è uno zero-day

BTR Reforged consente di trasformare queste funzioni legittime in una primitiva Ring 0. Il driver può cancellare o spostare file, rimuovere directory e modificare il Registro attribuendo l’attività al processo System, cioè al PID 4. In determinate condizioni, ciò permette di interferire anche con i componenti di Microsoft Defender durante la finestra che precede il loro completo avvio.

La dimostrazione è stata eseguita su Windows 11 25H2 aggiornato e con le protezioni di Defender abilitate. La Tamper Protection non impedisce automaticamente l’operazione, perché il componente coinvolto è già considerato attendibile. Tuttavia, la tecnica richiede un account amministrativo e il privilegio SeLoadDriverPrivilege. Non offre quindi un metodo autonomo per ottenere il controllo del computer.

Il rischio resta concreto dopo una compromissione iniziale, per esempio attraverso credenziali rubate o un’altra vulnerabilità. Gli amministratori dovrebbero limitare SeLoadDriverPrivilege, monitorare il caricamento di BTR.sys e correlare gli eventi Sysmon relativi ai driver, alla cancellazione dei file e alle operazioni attribuite al PID 4. Check Point segnala inoltre anomalie nella creazione delle chiavi di servizio e nei file BootClean.log.

BTR.sys era già stato corretto nel 2021 per CVE-2021-24092, una vulnerabilità diversa che consentiva a utenti locali non amministrativi di sovrascrivere file arbitrari. Il caso attuale non descrive una nuova falla di memoria, ma il riutilizzo offensivo di capacità progettate per la bonifica

La lezione riguarda quindi l’architettura stessa di Windows: un componente privilegiato deve essere abbastanza potente da rimuovere malware persistenti, ma proprio questa potenza può diventare un’arma quando la fiducia del sistema viene sfruttata da chi dispone già di privilegi elevati.