Check Point revela técnica que usa driver legítimo do Defender para ataques no nível do kernel
Check Point Research divulgou uma técnica inusitada que permite o uso do driver BTR.sys (Boot Time Removal Tool), um componente obrigatório do Microsoft Defender, para realizar operações arbitrárias no nível do kernel em sistemas Windows, desde o Windows 7 até o Windows 11 25H2. A descoberta foi apresentada por Jiří Vinopal, pesquisador de ameaças e engenheiro de software da Check Point Research, como uma sessão principal no Black Hat USA 2026 e no DEF CON 34 em Las Vegas.
O driver BTR.sys é extraído de MpEngine.dll, um componente central do Defender, e é implantado sempre que o sistema precisa concluir a remoção de malware após uma reinicialização — excluindo arquivos ou entradas de registro que estavam bloqueados enquanto o Windows estava em execução. O problema não é uma vulnerabilidade tradicional, mas sim uma falha arquitetural: o driver é assinado digitalmente pela Microsoft e integrado ao sistema operacional desde o Windows 7, o que impede sua inclusão na lista de drivers bloqueados pelo Windows Defender Application Control (WDAC).
Protocolo proprietário decifrado e ferramenta PoC lançada
Ao analisar o driver, Vinopal conseguiu reverter o protocolo transacional proprietário e não documentado utilizado por BTR.sys. Cada blob de configuração enviado ao driver é criptografado com RC4, utilizando uma chave de 256 bytes codificada diretamente na seção .rdata de todas as versões do driver desde o Windows 7 — uma chave que permaneceu inalterada em 18 versões distintas verificadas até hoje.
Juntamente com os achados, Vinopal lançou uma ferramenta de prova de conceito chamada BTR_CLI, disponível sob licença MIT no repositório GitHub github.com/Dump-GUY/BTR_CLI. A ferramenta localiza MpEngine.dll nos pacotes de definição do Defender e extrai o binário BTR.sys embutido. Em seguida, compõe uma transação válida e a instala como um serviço diretamente por meio de escritas no registro HKLM, utilizando Type=1, Start=1 e Group=