Kleine Hiobsbotschaft zum Wochenende für die Windows-Fraktion. Der eigene Treiber des Microsoft Defender, der auf jedem Windows-System mitgeliefert wird, kann missbraucht werden, um EDR- und Antiviren-Lösungen vom Windows-Kernel aus zu deaktivieren. Da lungert "der Wolf im Schafspelz" auf dem System.
Ein kurzer Tweet zeigt das Desaster
Mir ist die Woche der nachfolgende Tweet von Florian Roth zum Thema untergekommen. Die Botschaft lautet, dass ein vom Microsoft Defender verwendeter Treiber missbraucht werden kann, um EDR- oder Antivirus-Lösungen vom Windows-Kernel heraus zu deaktivieren.
Check Point Research ist darauf gestoßen, dass es in Windows einen Treiber gibt, der vom Defender benutzt wird. Der signierte Windows Defender Boot-Time Removal-Treiber (BTR.sys) von Microsoft ist eine einmalig ausführbare Kernel-Komponente, die eine RC4-verschlüsselte Transaktionsliste aus einem Alternate Data Stream entschlüsselt und Ring-0-Operationen ausführt.
Ein Angreifer mit "SeLoadDriverPrivilege" kann eine gültige verschlüsselte Konfiguration erstellen und diese frühzeitig über einen temporären "Boot Bus Extender"-Dienst laden, um sie als vertrauenswürdige Kernel-Primitive zu missbrauchen. Auf diese Weise kann er den Manipulationsschutz umgehen, EDR-/AV-Komponenten vor deren Start löschen, bösartige Treiber einschleusen und Persistenz erlangen. Das Ganze ist ohne Ausnutzung einer Sicherheitslücke oder BYOVD möglich. Check Point Research hat das Ganze zum 20. August 2026 im Blog-Beitrag BTR Reforged: Weaponizing Defender's Remediation Driver as a Kernel Operation Primitive dokumentiert.
Florian Roth schreibt, dass sich das Problem auch nicht auf die übliche Weise lösen lässt, indem der Treiber zur Blockliste für anfällige Treiber hinzugefügt wird. Es handelt sich schließlich um Microsofts eigene Defender-Komponente!
Laut MSRC ist kein sofortiger Patch erforderlich, da man ohnehin Administratorrechte benötigt. Und es gibt noch eine gute Botschaft: Bislang wurden keine Missbrauchsfälle in freier Wildbahn beobachtet. Wir müssen nur fest die Daumen drücken, dann wird das schon.
MVP: 2013 – 2016
