BTR Reforged: Der Microsoft-Defender-Treiber kann zur Waffe gegen die Windows-Sicherheit werden

Eine legitime Funktion zur Deaktivierung von Schutzmechanismen

Eine interne Komponente von Microsoft Defender kann von einem Angreifer mit bereits vorhandenen Administratorrechten missbraucht werden, um Dateien zu löschen, die Registry zu verändern und Sicherheitssoftware während des Windows-Starts zu entfernen.

Die als BTR Reforged bezeichnete Technik wurde von Jiří Vinopal von Check Point Research auf der Black Hat USA 2026 und der DEF CON 34 in Las Vegas vorgestellt. Das technische Paper und der Proof of Concept wurden am 20. August 2026 veröffentlicht. Die Meldung wurde am 21. August 2026 bekannt.

In den von Check Point Research analysierten Samples und Telemetriedaten gibt es derzeit keine Hinweise auf einen Einsatz der Technik in realen Angriffen. Das Risiko ist dennoch konkret: Der Demonstrationscode ermöglicht den reproduzierbaren Missbrauch eines von Microsoft signierten Treibers, der normalerweise auf Windows-Systemen vorhanden ist.

Betroffen ist BTR.sys, die Abkürzung für Boot Time Removal Tool. Defender verwendet ihn, um nach einem Neustart Malware oder Dateien zu entfernen, die während des laufenden Systembetriebs nicht gelöscht werden konnten.

BTR.sys ist als Ressource mit der Bezeichnung BOOTTIMETOOL in der Defender-Bibliothek MpEngine.dll enthalten. Es handelt sich daher weder um einen vom Angreifer heruntergeladenen externen Treiber noch um eine unbekannte, separat installierte Komponente.

Die Technik betrifft Systeme von Windows 7 bis Windows 11 25H2.

Was BTR.sys auf Kernel-Ebene ausführen kann

Der Forscher rekonstruierte das proprietäre Protokoll, über das Anweisungen an den Treiber übermittelt werden. Die für BTR.sys bestimmten Konfigurationsblöcke werden mit RC4 verschlüsselt. Dabei kommt ein statischer 256 Byte langer Schlüssel zum Einsatz, der im Abschnitt .rdata des Treibers gespeichert ist.

Derselbe Schlüssel wurde in 18 einzigartigen 64-Bit-Versionen von BTR.sys gefunden, die seit Windows 7 verteilt wurden. Dadurch kann der Proof of Concept den Treiber aus der aktuellen Defender-Kopie extrahieren und eine scheinbar gültige Transaktion vorbereiten.

Das öffentlich verfügbare Tool BTR_CLI sucht MpEngine.dll im Verzeichnis für Defender-Definitionsupdates, extrahiert BTR.sys und konfiguriert das Laden des Treibers durch direkte Schreibzugriffe in die Registry HKLM.

Der Serviceschlüssel wird mit folgenden Werten angelegt:

• Type=1;
• Start=1;
• Group="Boot Bus Extender".

Das Verfahren verwendet nicht den Service Control Manager. Daher wird das reguläre Windows-Ereignis Event ID 7045, das mit der Installation eines neuen Dienstes verknüpft ist, nicht erzeugt. Dadurch kann die Sichtbarkeit von Kontrollen eingeschränkt werden, die ausschließlich auf diesem Ereignis basieren.

Nach dem Laden werden die Operationen in Ring 0, der privilegierten Ebene des Windows-Kernels, ausgeführt. Die Telemetrie kann sie daher dem Prozess System mit PID 4 zuordnen und nicht dem Programm, das die Operation vorbereitet hat.

Zu den beobachteten Fähigkeiten gehören:

• das Löschen gesperrter Dateien und Verzeichnisse;
• das Verschieben von Dateien in normalerweise nicht geschützte Pfade, darunter System32\drivers;
• das Löschen von Registry-Schlüsseln und -Werten;
• das Erstellen oder Ändern von Registry-Werten beliebigen Typs.

BTR.sys kann Operationen auch für den nächsten Neustart einplanen. Dies ist besonders nützlich, um Änderungen vorzunehmen, bevor die Sicherheitsdienste im User Mode vollständig aktiv sind.

Das Zeitfenster während des Starts und die Entfernung von Defender

Die Technik nutzt ein Zeitfenster zwischen der Möglichkeit, in das Dateisystem zu schreiben, und dem Start der Microsoft-Defender-Dienste im User Mode.

In diesem Moment kann BTR.sys Komponenten physisch entfernen, die nach ihrer Aktivierung versuchen würden, ihre Dateien zu schützen oder Änderungen zu blockieren. Während der Demonstration entfernte Check Point Research den gesamten Defender-Stack von einem vollständig aktualisierten Windows 11 25H2-System, obwohl Tamper Protection aktiviert war.

Zu den möglichen Zielen gehören WdFilter.sys, der Defender-Filtertreiber, und MsMpEng.exe, der zentrale Prozess der Antimalware-Engine.

Die Voraussetzung ist entscheidend: Der Angreifer muss bereits über ein Administratorkonto mit SeLoadDriverPrivilege verfügen, also über das für das Laden von Treibern erforderliche Recht. BTR_CLI kann dieses Privileg nur für Konten aktivieren, die es bereits besitzen; eine Rechteausweitung von einem Standardbenutzer findet nicht statt.

Aus diesem Grund betrachtet Microsoft den Fall nicht als konventionelle Sicherheitslücke, die eine sofortige Behebung erfordert. Die Bewertung des MSRC ordnet ihn eher der Umgehung einer architektonischen Vertrauensgrenze zu: Wer bereits ein Administratorkonto kontrolliert, verfügt über ausreichende Möglichkeiten, ein System umfassend zu kompromittieren.

Das Repository von BTR_CLI weist darauf hin, dass kein korrigierendes Update vorgesehen sei. Microsoft hat diese Einschätzung jedoch nicht öffentlich bestätigt.

Warum Blocklisten und WDAC nicht ausreichen

BTR Reforged unterscheidet sich vom Bring Your Own Vulnerable Driver-Modell, bei dem der Angreifer einen signierten Treiber eines Drittanbieters einschleust und eine bekannte Schwachstelle für Operationen im Kernel ausnutzt.

In diesem Fall kann der Treiber zur Microsoft Vulnerable Driver Blocklist hinzugefügt oder mit Windows Defender Application Control (WDAC) eingeschränkt werden. BTR.sys ist dagegen eine integrierte Microsoft-Komponente, die für die Bereinigung durch Defender erforderlich ist.

Eine uneingeschränkte Blockierung könnte verhindern, dass das Produkt Bedrohungen während des Neustarts vollständig entfernt. Seine Präsenz in Windows erschwert daher Gegenmaßnahmen, die üblicherweise gegen anfällige Treiber eingesetzt werden, ohne zugleich eine legitime Systemfunktion zu beeinträchtigen.

Es gibt außerdem einen konkreten Präzedenzfall. Im Februar 2021 beschrieb Kasif Dekel von SentinelLabs CVE-2021-24092, eine Schwachstelle zur Rechteausweitung in BTR.sys. Ein lokaler Benutzer ohne Administratorrechte konnte beliebige Dateien überschreiben, indem er einen Hardlink im Pfad für die Treiberprotokolle platzierte.

Microsoft behob CVE-2021-24092 am 9. Februar 2021. Die Schwachstelle hatte einen CVSS-Wert von 7.8 und den Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

BTR.sys konnte unbemerkt bleiben, weil er normalerweise nicht auf der Festplatte vorhanden ist: Er wird nur bei Bedarf unter einem zufälligen Namen extrahiert und aktiviert und anschließend wieder entfernt. Der offensive Einsatz integrierter Treiber zur Beeinträchtigung von Endpoints ist dennoch nicht neu: Die Gruppe FIN7 hatte bereits Windows-Treiber und Komponenten von Process Explorer im Tool AvNeutralizer kombiniert.

In den vergangenen 90 Tagen nahm der KEV-Katalog der CISA außerdem sechs Schwachstellen in Microsoft-Produkten auf: CVE-2026-55040 und CVE-2026-33824 am 18. August 2026, CVE-2026-68820 am 11. August 2026, CVE-2026-50522 am 22. Juli 2026, CVE-2026-58644 am 16. Juli 2026 und CVE-2026-45659 am 1. Juli 2026. Letztere ist als in Ransomware-Kampagnen ausgenutzt gekennzeichnet.

BTR Reforged ist kein CVE-Eintrag und wird derzeit nicht als Bestandteil des KEV-Katalogs geführt. Für diese Technik gibt es daher keine CISA-Frist für eine verpflichtende Gegenmaßnahme.

Erkennung und Maßnahmen für IT-Teams

Die wichtigste praktische Maßnahme besteht darin, die Vergabe von SeLoadDriverPrivilege strikt zu beschränken. Das Privileg sollte nur Konten und Diensten zugewiesen werden, die es nachweislich benötigen. Besondere Aufmerksamkeit gilt lokalen Administratoren und Remote-Management-Tools.

Sicherheitsteams können in Sysmon- und Windows-Logs nach folgenden ungewöhnlichen Sequenzen suchen:

• Sysmon Event ID 15 – FileCreateStreamHash für eine Datei, deren Name mit .sys:changelist endet; dies kann auf einen Alternate Data Stream mit verschlüsselter Konfiguration hinweisen;
• Sysmon Event ID 12 oder 13 – RegistryEvent zur Erstellung eines Serviceschlüssels mit Args, das :changelist enthält, und Group, das auf Boot Bus Extender gesetzt ist;
• das Fehlen des Windows-Ereignisses 7045 im Zusammenhang mit der Erstellung des Schlüssels;
• Sysmon Event ID 11, gefolgt von Event ID 23, bei der schnellen Erstellung und Löschung von \SystemRoot\Temp\BootClean.log;
• ein mit Sysmon Event ID 6 erkanntes Laden, unmittelbar gefolgt von der Löschung der Datei mit Event ID 23; in beiden Fällen als System/PID 4 zugeordnet.

BootClean.log ist ein im Treiber eingebetteter Pfad und kann auch bei legitimen Aktivitäten auftreten. Für sich allein stellt er keinen Angriffsnachweis dar. Aussagekräftiger wird er in Verbindung mit der Erstellung des Serviceschlüssels, dem Fehlen von Event 7045 und ungewöhnlichen Änderungen an Defender-Komponenten.

Der Proof of Concept BTR_CLI ist auf GitHub unter der MIT-Lizenz verfügbar und enthält x64- und x86-Binärdateien. Unternehmen können ihn in isolierten Umgebungen verwenden, um Erkennungs- und Reaktionsregeln zu validieren. Eine Ausführung auf Produktionssystemen sollte jedoch vermieden werden.