BTR.sys steckt als Ressource BOOTTIMETOOL in Defenders MpEngine.dll und wird ausgerollt, wenn die Bereinigung erst nach einem Neustart abgeschlossen werden kann. Vinopal analysierte das proprietäre, undokumentierte Transaktionsprotokoll des Treibers und stellte fest, dass jeder übergebene Konfigurationsblock mit RC4 verschlüsselt wird — mit einem 256 Byte langen Schlüssel, der in der .rdata-Sektion jeder seit Windows 7 ausgelieferten BTR.sys-Version fest hinterlegt ist. Über 18 verschiedene 64-Bit-Versionen hinweg blieb dieser Schlüssel unverändert.
Das Werkzeug BTR_CLI sucht MpEngine.dll unter den Definition Updates von Defender, extrahiert die eingebettete BTR.sys-Binärdatei und baut eine gültige verschlüsselte Transaktion. Anschließend installiert es den Treiber als Dienst durch direkte Registry-Schreibvorgänge unter HKLM mit Type=1, Start=1 und Group=“Boot Bus Extender”. Dieser Weg umgeht den Service Control Manager vollständig, sodass kein Windows-Ereignis mit der ID 7045 (Dienst installiert) entsteht.
Ist der Treiber geladen, arbeitet er die eingereihten Operationen aus Ring 0 ab — in der Telemetrie dem System-Prozess mit PID 4 zugeordnet. Möglich sind das Löschen gesperrter Dateien und Verzeichnisse, das Verschieben von Dateien in beliebige Pfade einschließlich System32\drivers sowie das Löschen und Neuschreiben von Registry-Schlüsseln und -Werten jeden Typs.
Ein zweiter Auslösemodus plant diese Operationen für den nächsten Neustart. Der Treiber läuft dann in dem, was Vinopal das “goldene Fenster” nennt: dem Zeitraum, in dem das Dateisystem bereits beschreibbar ist, die Benutzermodus-Dienste von Defender aber noch nicht gestartet sind. So lassen sich Sicherheitsbinärdateien wie WdFilter.sys und MsMpEng.exe entfernen, bevor sie sich selbst sperren können. In einer Live-Demonstration auf der Black Hat löschte BTR_CLI den kompletten Defender-Stack von einem vollständig aktualisierten Windows 11 25H2 bei aktivem Tamper Protection.
Voraussetzung ist ein Administratorkonto mit SeLoadDriverPrivilege, das BTR_CLI für Konten, die es bereits besitzen, automatisch aktiviert. Anders als bei der Technik “Bring your own vulnerable driver”, die auf bekannt anfällige Treiber Dritter setzt und per Blocklist zu bremsen ist, nutzt “BTR Reforged” einen Treiber, der in jeder Windows-Installation seit Windows 7 enthalten ist.
Check Point Research spricht von keiner Schwachstelle im klassischen Sinn, sondern von einer architektonischen Vertrauensgrenze, die überschritten werden kann, wenn ein Angreifer bereits über administrative Rechte verfügt. Nach der Meldung habe das MSRC bestätigt, dass die Ergebnisse die Kriterien für eine sofortige Behebung nicht erfüllen, da die Technik auf bereits vorhandene Administratorrechte angewiesen sei. In Vinopals GitHub-Repository heißt es zudem, ein Patch sei nicht geplant — eine Darstellung, die Microsoft öffentlich nicht bestätigt hat.
Derselbe Treiber war schon früher Gegenstand von Forschung: Im Februar 2021 offenlegte SentinelLabs-Forscher Kasif Dekel CVE-2021-24092, eine Rechteausweitung, bei der ein lokaler Nicht-Administrator über einen Hardlink auf den Logpfad des Treibers beliebige Dateien überschreiben konnte. Microsoft schloss die Lücke am 9. Februar 2021. Dekel vermutete damals, die Schwachstelle sei so lange unentdeckt geblieben, weil der Treiber normalerweise nicht auf der Festplatte liege, sondern bei Bedarf unter zufälligem Namen abgelegt, aktiviert und wieder entfernt werde.
Eingebaute Windows-Treiber als offensives Kernel-Werkzeug traten zuvor bei FIN7s AvNeutralizer auf, das ProcLaunchMon.sys gemeinsam mit dem Process-Explorer-Treiber gegen Endpunktschutz einsetzte. Die aktuelle Untersuchung entstand nach Angaben von Check Point Research aus einem Incident-Response-Fall, in dem auffällige Endpunkt-Telemetrie letztlich auf legitime Defender-Bereinigung zurückführte.
Als Erkennungsgrundlage nennt Check Point Research bestimmte Sysmon- und Windows-Ereignisbedingungen; als wichtigste Härtungsmaßnahme empfiehlt das Team, die Zuweisung von SeLoadDriverPrivilege zu beschränken. BTR_CLI liegt unter github.com/Dump-GUY/BTR_CLI unter MIT-Lizenz vor, mit vorgebauten x64- und x86-Binärdateien in den Releases. Microsoft und Check Point Research hatten Anfragen von The Hacker News bis zur Veröffentlichung nicht beantwortet.