Phát hiện cách lạm dụng driver của Microsoft Defender để xóa phần mềm bảo mật khi khởi động
"Check Point Research disclosed that Microsoft Defender’s built-in boot-time remediation driver, BTR.sys, can be abused by an administrator with SeLoadDriverPrivilege to perform arbitrary kernel-level file and registry operations, including deleting security software at boot. The technique affects Windows 7 through Windows 11 25H2, requires no external vulnerable driver, and Microsoft has said it does not meet criteria for immediate servicing; no CVE was assigned for this issue, though BTR.sys previously had CVE-2021-24092 for a separate privilege-escalation flaw that was patched in 2021."
Rủi ro ở mức cao nếu đối thủ đã có quyền quản trị; có thể vô hiệu hóa phần mềm bảo mật ngay lúc khởi động và thực hiện thao tác ở kernel. Chưa ghi nhận khai thác thực tế, nhưng cần giám sát nạp driver và quyền SeLoadDriverPrivilege.
Có thể ảnh hưởng đến khả năng phòng thủ endpoint và làm tăng rủi ro gián đoạn nếu phần mềm bảo mật bị xóa hoặc vô hiệu hóa. Tác động vận hành chủ yếu nằm ở khâu phát hiện sớm và ứng phó sự cố trên máy trạm Windows.
Check Point Research công bố một kỹ thuật có thể lạm dụng BTR.sys — driver sửa lỗi lúc khởi động của Microsoft Defender — để thực hiện các thao tác ở mức kernel trên hệ thống Windows 7 đến Windows 11 25H2. Theo nhóm nghiên cứu, kỹ thuật này không cần driver dễ bị khai thác từ bên ngoài mà dựa trên thành phần hợp lệ đã có sẵn trong Windows.
Điều kiện để khai thác là kẻ tấn công đã có tài khoản quản trị viên và quyền SeLoadDriverPrivilege. Khi đó, BTR.sys có thể bị dùng để xóa tệp, thư mục hoặc khóa registry bị khóa, thậm chí xóa các thành phần bảo mật như WdFilter.sys và MsMpEng.exe trong “golden window” trước khi dịch vụ người dùng của Defender khởi động.
Check Point cho biết chưa thấy dấu hiệu kỹ thuật này bị dùng trong tấn công thực tế. Microsoft cũng nói vấn đề này không đủ điều kiện vá khẩn cấp vì phụ thuộc vào quyền quản trị sẵn có; hiện không có CVE mới cho phát hiện này. Tuy vậy, các đội vận hành nên rà soát quyền SeLoadDriverPrivilege, giám sát hành vi nạp driver và kiểm tra các thay đổi bất thường ở registry và tệp hệ thống trong giai đoạn boot.