Driver do Microsoft Defender pode ser usado para remover softwares de segurança na inicialização

Pesquisadores da Check Point Research demonstraram uma técnica capaz de transformar um driver legítimo e assinado do Microsoft Defender em uma ferramenta para excluir arquivos, alterar o Registro do Windows e até remover componentes de segurança antes que o sistema operacional conclua sua inicialização.

A técnica utiliza o BTR.sys, sigla para Boot Time Removal Tool, um driver empregado pelo próprio Defender para finalizar a remoção de ameaças após uma reinicialização. Segundo os pesquisadores, o método funciona em sistemas que vão do Windows 7 ao Windows 11 25H2, sem explorar uma vulnerabilidade tradicional e sem importar um driver malicioso ou vulnerável de terceiros.

O pesquisador Jiří Vinopal, da Check Point Research, apresentou o trabalho durante a Black Hat USA 2026 e a DEF CON 34, em Las Vegas. O estudo e uma ferramenta de prova de conceito chamada BTR_CLI foram publicados em 20 de agosto de 2026.

Até o momento, a Check Point afirma não ter encontrado evidências de que a técnica tenha sido utilizada em ataques reais.

“Durante nossa análise de todas as amostras coletadas e fontes de telemetria, não observamos evidências de abuso do BTR.sys da maneira demonstrada nesta pesquisa”, informou a empresa. Segundo os pesquisadores, isso pode permitir que organizações desenvolvam mecanismos de detecção antes que a técnica eventualmente seja adotada por hackers.

Driver legítimo do Defender pode executar operações no kernel

O BTR.sys é incorporado ao arquivo MpEngine.dll do Microsoft Defender e utilizado quando o antivírus precisa excluir arquivos ou entradas de Registro que permanecem bloqueados enquanto o Windows está em execução.

Ao analisar o funcionamento do driver, Vinopal identificou um protocolo proprietário e não documentado usado para enviar instruções ao BTR.sys.

As configurações são protegidas com RC4 utilizando uma chave de 256 bytes armazenada diretamente no próprio driver. A pesquisa verificou que a mesma chave permaneceu inalterada em 18 versões diferentes de 64 bits analisadas desde o Windows 7.

A ferramenta BTR_CLI localiza o MpEngine.dll dentro das atualizações de definições do Defender, extrai o BTR.sys incorporado e cria uma transação criptografada compatível com o formato esperado pelo driver.

Em seguida, o código pode registrar o BTR.sys diretamente no Registro do Windows como um serviço de inicialização, sem utilizar o Service Control Manager. Segundo a pesquisa, esse procedimento também evita a geração do Windows Event ID 7045, normalmente associado à instalação de novos serviços.

Depois de carregado, o driver executa as operações no Ring 0, nível mais privilegiado do sistema operacional, com a atividade atribuída ao processo System, de PID 4.

Entre as ações demonstradas estão a exclusão de arquivos e diretórios bloqueados, movimentação de arquivos para caminhos como System32\drivers, remoção de chaves e valores do Registro e criação de novos valores de diferentes tipos.

As operações também podem ser programadas para acontecer durante a próxima reinicialização.

Defender pode ser removido antes de iniciar

Um dos principais riscos está no momento em que o BTR.sys é executado durante o boot.

Vinopal descreve esse período como uma “janela de ouro”: o sistema de arquivos já pode ser modificado, mas os serviços do Microsoft Defender em modo de usuário ainda não foram iniciados.

Nesse intervalo, o driver pode excluir componentes de segurança antes que eles sejam carregados e bloqueados pelo próprio Windows.

Durante uma demonstração na Black Hat, o BTR_CLI foi utilizado para remover a pilha do Defender de um computador totalmente atualizado com Windows 11 25H2, mesmo com o recurso Tamper Protection habilitado. Entre os componentes que podem ser atingidos estão arquivos como WdFilter.sys e MsMpEng.exe.

A exploração, porém, exige que o atacante já possua uma conta administrativa com o privilégio SeLoadDriverPrivilege, necessário para carregar drivers no sistema. A ferramenta de prova de conceito apenas habilita automaticamente esse privilégio quando a conta já possui autorização para utilizá-lo.

Técnica é diferente de ataques BYOVD

O método se diferencia dos ataques conhecidos como Bring Your Own Vulnerable Driver, ou BYOVD, nos quais invasores carregam drivers legítimos, porém vulneráveis, de terceiros para executar operações privilegiadas no kernel.

Esses drivers podem posteriormente ser adicionados a listas de bloqueio da Microsoft.

No caso do BTR.sys, essa abordagem é mais complicada porque o componente faz parte do funcionamento legítimo do Microsoft Defender. Bloqueá-lo por meio da Microsoft Vulnerable Driver Blocklist ou do Windows Defender Application Control poderia interferir no próprio antivírus.

A Check Point chama a técnica de “BTR Reforged” e destaca que o problema não representa uma vulnerabilidade convencional.

Segundo a empresa, trata-se de uma fronteira de confiança arquitetural que pode ser ultrapassada quando um invasor já conquistou privilégios administrativos.

Após a divulgação responsável, o Microsoft Security Response Center (MSRC) informou aos pesquisadores que o comportamento não atende aos critérios para uma correção imediata, justamente porque depende da existência prévia de privilégios administrativos, incluindo SeLoadDriverPrivilege.

O repositório do BTR_CLI afirma que não existe correção planejada, mas a Microsoft não confirmou publicamente essa informação.

BTR.sys já teve outra vulnerabilidade corrigida

O driver do Defender já havia sido analisado anteriormente por pesquisadores de segurança.

Em fevereiro de 2021, Kasif Dekel, da SentinelLabs, divulgou a CVE-2021-24092, uma vulnerabilidade de escalonamento de privilégios que permitia que um usuário local sem privilégios administrativos sobrescrevesse arquivos arbitrários utilizando um hard link no caminho de log empregado pelo driver.

A Microsoft corrigiu a falha em 9 de fevereiro de 2021.

Na ocasião, a SentinelLabs explicou que o BTR.sys era difícil de analisar porque normalmente não permanece armazenado de forma permanente no disco. O Defender instala e ativa o componente quando necessário, frequentemente com um nome aleatório, e depois o remove.

O uso de drivers nativos do Windows como mecanismo ofensivo também já apareceu em outras campanhas. O grupo FIN7, por exemplo, utilizou o driver ProcLaunchMon.sys em conjunto com um driver do Process Explorer em uma ferramenta conhecida como AvNeutralizer para interferir em softwares de proteção de endpoints.

Pesquisa começou durante resposta a incidente

Segundo a Check Point, a investigação sobre o BTR.sys surgiu durante uma resposta a incidente em um sistema comprometido.

Alguns eventos de telemetria inicialmente pareciam indicar comportamento malicioso, mas acabaram sendo relacionados a atividades legítimas de remediação do Microsoft Defender. A análise levou os pesquisadores a estudar de forma mais detalhada o mecanismo de operação do driver.

A empresa também publicou indicadores que podem ajudar equipes de segurança a identificar possíveis abusos.

Entre eles estão eventos do Sysmon relacionados à criação do fluxo alternativo .sys:changelist, utilizado para armazenar a configuração criptografada, e alterações no Registro criando serviços com referências a :changelist e ao grupo Boot Bus Extender, especialmente quando não existe um Windows Event ID 7045 correspondente.

Outros sinais incluem a criação e exclusão rápida do arquivo \SystemRoot\Temp\BootClean.log pelo processo System, eventos de carregamento de driver seguidos imediatamente pela exclusão de arquivos e operações realizadas pelo PID 4.

Como principal medida de proteção, a Check Point recomenda restringir ao máximo quais contas possuem o privilégio SeLoadDriverPrivilege.

A ferramenta BTR_CLI foi disponibilizada publicamente no GitHub sob licença MIT, incluindo versões compiladas para arquiteturas x64 e x86.