In questo articolo Indice dei contenuti 2 sezioni
Un componente perfettamente legittimo di Microsoft Defender può essere piegato a scopi distruttivi, arrivando a colpire i software di sicurezza durante la fase di avvio del sistema. Il protagonista della vicenda si chiama BTR.sys, il Boot Time Removal Tool che Windows integra da anni, e la tecnica che lo sfrutta è stata battezzata BTR Reforged dai ricercatori di Check Point Research. Nessuna falla di memoria, nessuno zero day: soltanto l’uso creativo di funzioni pensate per ripulire il computer dalle minacce più ostinate.
Il senso originale di quel driver è semplice. Quando Defender incontra un file o una chiave di registro che non riesce a toccare mentre il sistema è in funzione, rimanda l’operazione al riavvio successivo. BTR.sys entra in scena in quel momento preciso, prima che i componenti di sicurezza in user mode siano completamente attivi. Un privilegio enorme, ma coerente con il compito assegnato. I ricercatori hanno ricostruito il protocollo con cui si impartiscono comandi a quel driver e hanno pubblicato BTR_CLI, un proof of concept pensato per verifica e rilevamento. Al momento non risultano prove di attacchi reali.
Un driver firmato Microsoft che il sistema considera affidabile
BTR.sys è incorporato in MpEngine.dll come risorsa chiamata BOOTTIMETOOL e viene caricato quando Microsoft Defender deve portare a termine una bonifica durante il boot. Rimuove elementi bloccati, interviene sulle directory, modifica il registro. Tutto prima che Windows abbia finito di avviare i normali servizi di protezione.
Qui sta il punto interessante, ed è anche ciò che rende la faccenda diversa dal classico schema Bring Your Own Vulnerable Driver. L’attaccante non ha bisogno di portarsi dietro un driver esterno bucato, perché BTR.sys è un componente Microsoft firmato e già installato. Metterlo in blacklist tramite la Vulnerable Driver Blocklist oppure con WDAC significherebbe amputare una funzione di cui Defender ha realmente bisogno. Il lavoro di reverse engineering ha coperto 18 versioni x64 del driver, da Windows 7 in avanti, e ha portato alla luce un protocollo non documentato. Le richieste viaggiano cifrate con RC4 attraverso una chiave incorporata nel driver stesso e possono concatenare più operazioni su file e chiavi di registro in sequenza.
Serve già essere amministratore, e questo cambia tutto
BTR Reforged trasforma quelle funzioni in una primitiva Ring 0 a tutti gli effetti. Il driver cancella o sposta file, elimina directory, modifica il Registro, e attribuisce l’attività al processo System, cioè al PID 4. In certe condizioni riesce a interferire con gli stessi componenti di Microsoft Defender, sfruttando la finestra temporale che precede il loro avvio completo.
La dimostrazione è stata condotta su Windows 11 25H2 aggiornato, con le protezioni di Defender attive. La Tamper Protection non blocca automaticamente l’operazione, semplicemente perché il componente coinvolto rientra tra quelli considerati attendibili. Però la tecnica pretende un account amministrativo e il privilegio SeLoadDriverPrivilege. Non è quindi una scorciatoia per prendere il controllo di una macchina partendo da zero.
Il rischio diventa serio dopo una compromissione iniziale, con credenziali rubate oppure sfruttando un’altra vulnerabilità. Le indicazioni per chi amministra sistemi sono piuttosto pratiche: limitare SeLoadDriverPrivilege, tenere sotto osservazione il caricamento di BTR.sys, correlare gli eventi Sysmon relativi ai driver, alle cancellazioni di file e alle operazioni riferite al PID 4. Vale la pena guardare anche le anomalie nella creazione delle chiavi di servizio e nei file BootClean.log. Non è la prima volta che quel driver finisce sotto i riflettori. Nel 2021 era stato corretto per CVE-2021-24092, una vulnerabilità di natura diversa che permetteva a utenti locali senza privilegi amministrativi di sovrascrivere file arbitrari. Il caso attuale non racconta una nuova falla, ma il riutilizzo offensivo di capacità progettate per la bonifica. Un componente privilegiato deve essere abbastanza potente da sradicare malware persistenti, e proprio quella potenza si rovescia contro il sistema quando chi la impugna dispone già di privilegi elevati.
