BTR Reforged : le pilote de Microsoft Defender peut être détourné contre la sécurité de Windows

Une fonction légitime utilisée pour désactiver les défenses

Un composant interne de Microsoft Defender peut être exploité par un attaquant disposant déjà de privilèges administrateur pour supprimer des fichiers, modifier le registre et retirer des logiciels de sécurité pendant le démarrage de Windows.

La technique, baptisée BTR Reforged, a été présentée par Jiří Vinopal de Check Point Research lors de Black Hat USA 2026 et de DEF CON 34 à Las Vegas. Le document technique et la preuve de concept ont été publiés le 20 août 2026. L’information a été révélée le 21 août 2026.

À ce stade, Check Point Research n’a relevé aucune preuve d’utilisation de cette technique dans des attaques réelles, ni dans les échantillons ni dans la télémétrie analysés. Le risque reste toutefois concret : le code de démonstration permet de reproduire l’abus d’un pilote Microsoft signé et généralement présent sur les systèmes Windows.

Le composant concerné est BTR.sys, acronyme de Boot Time Removal Tool. Defender l’utilise pour achever, après un redémarrage, la suppression de logiciels malveillants ou de fichiers qui ne pouvaient pas être effacés pendant l’exécution du système.

BTR.sys est intégré à la bibliothèque MpEngine.dll de Defender en tant que ressource nommée BOOTTIMETOOL. Il ne s’agit donc ni d’un pilote externe téléchargé par l’attaquant, ni d’un composant inconnu installé séparément.

La technique concerne les systèmes allant de Windows 7 à Windows 11 25H2.

Ce que BTR.sys peut faire au niveau du kernel

Le chercheur a reconstitué le protocole propriétaire utilisé pour transmettre les instructions au pilote. Les blocs de configuration destinés à BTR.sys sont chiffrés avec RC4, à l’aide d’une clé statique de 256 octets stockée dans la section .rdata du pilote.

Cette même clé a été retrouvée dans 18 versions uniques 64 bits de BTR.sys distribuées depuis Windows 7. La preuve de concept peut ainsi extraire le pilote depuis la copie actualisée de Defender et préparer une transaction apparemment valide.

L’outil public BTR_CLI recherche MpEngine.dll dans le répertoire des mises à jour des définitions de Defender, extrait BTR.sys et configure le chargement du pilote au moyen d’écritures directes dans la clé de registre HKLM.

La clé de service est configurée avec :

• Type=1 ;
• Start=1 ;
• Group="Boot Bus Extender".

La procédure ne passe pas par le Service Control Manager. Elle ne génère donc pas l’événement Windows habituel Event ID 7045, associé à l’installation d’un nouveau service. Cette particularité peut réduire la visibilité des contrôles reposant exclusivement sur cet événement.

Après son chargement, le pilote exécute les opérations en Ring 0, le niveau privilégié du kernel Windows. La télémétrie peut alors les attribuer au processus System, avec le PID 4, plutôt qu’au programme ayant préparé l’opération.

Les fonctionnalités observées comprennent :

• la suppression de fichiers et de répertoires verrouillés ;
• le déplacement de fichiers vers des chemins normalement non protégés, notamment System32\drivers ;
• la suppression de clés et de valeurs du registre ;
• la création ou la modification de valeurs de registre de tout type.

BTR.sys peut également programmer les opérations pour le prochain redémarrage. C’est le mode le plus efficace pour intervenir avant que les services de sécurité en user mode ne soient pleinement actifs.

La fenêtre de démarrage et la suppression de Defender

La technique exploite une fenêtre opérationnelle située entre la disponibilité du système de fichiers en écriture et le démarrage des services user mode de Microsoft Defender.

À ce moment-là, BTR.sys peut supprimer physiquement des composants qui, une fois actifs, tenteraient de protéger leurs propres fichiers ou de bloquer les modifications. Lors de la démonstration, Check Point Research a supprimé l’ensemble de la pile Defender sur une machine entièrement mise à jour sous Windows 11 25H2, alors que la Tamper Protection était activée.

Parmi les fichiers susceptibles d’être ciblés figurent WdFilter.sys, le pilote de filtrage de Defender, et MsMpEng.exe, le processus principal du moteur antimalware.

La condition préalable est déterminante : l’attaquant doit déjà disposer d’un compte administrateur doté de SeLoadDriverPrivilege, le droit nécessaire au chargement de pilotes. BTR_CLI ne peut activer ce privilège que pour les comptes qui le possèdent déjà ; il n’effectue pas d’escalade depuis un compte utilisateur standard.

C’est pourquoi Microsoft ne considère pas ce scénario comme une vulnérabilité conventionnelle nécessitant un correctif immédiat. L’évaluation du MSRC le rapproche davantage d’un franchissement de limite architecturale de confiance : quiconque contrôle déjà un compte administrateur dispose en effet de capacités suffisantes pour compromettre profondément le système.

Le dépôt de BTR_CLI indique qu’aucune mise à jour corrective ne serait prévue. Microsoft n’a toutefois pas confirmé publiquement cette position.

Pourquoi la blocklist et WDAC ne suffisent pas

BTR Reforged se distingue du modèle Bring Your Own Vulnerable Driver, dans lequel l’attaquant introduit un pilote tiers signé et exploite une vulnérabilité connue pour opérer dans le kernel.

Dans ce cas, le pilote peut être ajouté à la Microsoft Vulnerable Driver Blocklist ou limité au moyen de Windows Defender Application Control (WDAC). BTR.sys est en revanche un composant Microsoft intégré, nécessaire aux opérations de remédiation de Defender.

Le bloquer de manière indiscriminée pourrait empêcher le produit d’achever la suppression des menaces lors du redémarrage. Sa présence dans Windows rend donc difficile l’application des contre-mesures habituellement utilisées contre les pilotes vulnérables sans compromettre une fonction légitime du système.

Il existe également un précédent spécifique. En février 2021, Kasif Dekel de SentinelLabs a décrit CVE-2021-24092, une vulnérabilité d’élévation de privilèges dans BTR.sys. Un utilisateur local non administrateur pouvait écraser des fichiers arbitraires en plaçant un lien physique dans le chemin des journaux du pilote.

Microsoft a corrigé CVE-2021-24092 le 9 février 2021. La faille présentait un score CVSS de 7.8, avec le vecteur CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

BTR.sys pouvait passer inaperçu, car il n’est généralement pas présent sur le disque : il est extrait et activé uniquement lorsque cela est nécessaire, sous un nom aléatoire, puis supprimé. L’utilisation offensive de pilotes intégrés pour interférer avec les endpoints n’est toutefois pas nouvelle : le groupe FIN7 avait déjà combiné des pilotes Windows et des composants de Process Explorer dans l’outil AvNeutralizer.

Au cours des 90 derniers jours, le catalogue KEV de la CISA a également inclus six vulnérabilités liées à des produits Microsoft : CVE-2026-55040 et CVE-2026-33824 le 18 août 2026, CVE-2026-68820 le 11 août 2026, CVE-2026-50522 le 22 juillet 2026, CVE-2026-58644 le 16 juillet 2026 et CVE-2026-45659 le 1er juillet 2026. Cette dernière est signalée comme exploitée dans des campagnes de ransomware.

BTR Reforged n’est pas une entrée CVE et ne figure pas dans le catalogue KEV. Il n’existe donc aucune échéance de mitigation de la CISA à appliquer pour cette technique.

Détection et mesures pour les équipes IT

La première mesure pratique consiste à limiter strictement l’attribution de SeLoadDriverPrivilege. Ce privilège ne devrait être accordé qu’aux comptes et aux services qui en ont un besoin documenté, avec une attention particulière portée aux administrateurs locaux et aux outils d’administration à distance.

Les équipes de sécurité peuvent rechercher certaines séquences anormales dans les journaux Sysmon et Windows :

• Sysmon Event ID 15 – FileCreateStreamHash sur un fichier dont le nom se termine par .sys:changelist, ce qui peut correspondre à un Alternate Data Stream contenant la configuration chiffrée ;
• Sysmon Event ID 12 ou 13 – RegistryEvent lors de la création d’une clé de service dont Args contient :changelist et dont Group est défini sur Boot Bus Extender ;
• l’absence de l’événement Windows 7045 lors de la création de la clé ;
• Sysmon Event ID 11 suivi de Event ID 23 pour la création puis la suppression rapide de \SystemRoot\Temp\BootClean.log ;
• un chargement détecté par Sysmon Event ID 6, immédiatement suivi de la suppression du fichier par Event ID 23, les deux événements étant attribués à System/PID 4.

BootClean.log est un chemin intégré au pilote et peut également apparaître lors d’activités légitimes. Il ne constitue donc pas, à lui seul, une preuve d’attaque : il devient surtout pertinent lorsqu’il coïncide avec la création de la clé de service, l’absence de l’événement 7045 et des modifications anormales des composants de Defender.

La preuve de concept BTR_CLI est disponible sur GitHub sous licence MIT et comprend des binaires x64 et x86. Les organisations peuvent l’utiliser dans des environnements isolés afin de valider leurs règles de détection et de réponse, en évitant toutefois de l’exécuter sur des systèmes de production.