BTR Reforged: il driver di Microsoft Defender può diventare un’arma contro la sicurezza di Windows

Una funzione legittima usata per disattivare le difese

Un componente interno di Microsoft Defender può essere sfruttato da un aggressore già amministratore per eliminare file, modificare il registro e rimuovere software di sicurezza durante l’avvio di Windows.

La tecnica, denominata BTR Reforged, è stata presentata da Jiří Vinopal di Check Point Research durante Black Hat USA 2026 e DEF CON 34 a Las Vegas. Paper tecnico e proof of concept sono stati pubblicati il 20 agosto 2026. La notizia è emersa il 21 agosto 2026.

Al momento non risultano evidenze di utilizzo della tecnica in attacchi reali nei campioni e nella telemetria analizzati da Check Point Research. Il rischio, però, è concreto: il codice dimostrativo rende riproducibile l’abuso di un driver Microsoft firmato e normalmente presente nei sistemi Windows.

Il componente coinvolto è BTR.sys, acronimo di Boot Time Removal Tool. Defender lo utilizza per completare, dopo un riavvio, la rimozione di malware o di file che non potevano essere cancellati mentre il sistema era in esecuzione.

BTR.sys è incorporato nella libreria MpEngine.dll di Defender come risorsa denominata BOOTTIMETOOL. Non è quindi un driver esterno scaricato dall’attaccante, né un componente sconosciuto installato separatamente.

La tecnica interessa i sistemi da Windows 7 fino a Windows 11 25H2.

Che cosa può fare BTR.sys a livello kernel

Il ricercatore ha ricostruito il protocollo proprietario con cui vengono inviate le istruzioni al driver. I blocchi di configurazione destinati a BTR.sys sono cifrati con RC4, usando una chiave statica di 256 byte memorizzata nella sezione .rdata del driver.

La stessa chiave è stata individuata in 18 versioni uniche a 64 bit di BTR.sys distribuite da Windows 7 in poi. Questo consente al proof of concept di estrarre il driver dalla copia aggiornata di Defender e preparare una transazione apparentemente valida.

Lo strumento pubblico BTR_CLI cerca MpEngine.dll nella directory degli aggiornamenti delle definizioni di Defender, estrae BTR.sys e configura il caricamento del driver tramite scritture dirette nel registro HKLM.

La chiave di servizio viene impostata con:

• Type=1;
• Start=1;
• Group="Boot Bus Extender".

La procedura non passa dal Service Control Manager. Di conseguenza, non genera il normale evento Windows Event ID 7045, associato all’installazione di un nuovo servizio. Questa caratteristica può ridurre la visibilità dei controlli basati esclusivamente su quell’evento.

Dopo il caricamento, le operazioni vengono eseguite in Ring 0, il livello privilegiato del kernel di Windows. La telemetria può quindi attribuirle al processo System, con PID 4, anziché al programma che ha preparato l’operazione.

Le capacità osservate includono:

• cancellazione di file e directory bloccati;
• spostamento di file verso percorsi normalmente non vincolati, compresa System32\drivers;
• eliminazione di chiavi e valori del registro;
• creazione o modifica di valori del registro di qualsiasi tipo.

BTR.sys può anche programmare le operazioni per il riavvio successivo. È la modalità più utile per intervenire prima che i servizi di sicurezza in user mode siano pienamente attivi.

La finestra durante l’avvio e la rimozione di Defender

La tecnica sfrutta una finestra operativa compresa tra la disponibilità in scrittura del filesystem e l’avvio dei servizi user-mode di Microsoft Defender.

In quel momento BTR.sys può rimuovere fisicamente componenti che, una volta attivi, tenterebbero di proteggere i propri file o di bloccare le modifiche. Durante la dimostrazione, Check Point Research ha eliminato l’intero stack di Defender da una macchina completamente aggiornata con Windows 11 25H2, nonostante Tamper Protection fosse attiva.

Tra i file che possono essere presi di mira figurano WdFilter.sys, il driver di filtro di Defender, e MsMpEng.exe, il processo principale del motore antimalware.

Il presupposto è decisivo. L’attaccante deve avere già un account amministrativo con SeLoadDriverPrivilege, il diritto necessario per caricare driver. BTR_CLI può abilitare il privilegio soltanto per account che lo possiedono già: non effettua un’escalation da utente standard.

Per questo Microsoft non considera il caso una vulnerabilità convenzionale che richieda una correzione immediata. La valutazione di MSRC lo colloca più vicino a un superamento di un confine architetturale di fiducia: chi controlla già un account amministrativo dispone infatti di capacità sufficienti per compromettere profondamente il sistema.

Il repository di BTR_CLI segnala che non sarebbe previsto un aggiornamento correttivo. Microsoft, tuttavia, non ha confermato pubblicamente questa posizione.

Perché blocklist e WDAC non bastano

BTR Reforged è diverso dal modello Bring Your Own Vulnerable Driver, nel quale l’aggressore introduce un driver firmato di terze parti e sfrutta una vulnerabilità nota per operare nel kernel.

In quel caso il driver può essere aggiunto alla Microsoft Vulnerable Driver Blocklist oppure limitato con Windows Defender Application Control (WDAC). BTR.sys è invece un componente Microsoft integrato e necessario alle operazioni di remediation di Defender.

Bloccarlo indiscriminatamente potrebbe impedire al prodotto di completare la rimozione di minacce durante il riavvio. La sua presenza in Windows rende quindi difficile applicare le contromisure normalmente usate contro i driver vulnerabili senza compromettere una funzione legittima del sistema.

Esiste anche un precedente specifico. Nel febbraio 2021, Kasif Dekel di SentinelLabs descrisse CVE-2021-24092, una vulnerabilità di escalation dei privilegi in BTR.sys. Un utente locale non amministrativo poteva sovrascrivere file arbitrari collocando un hard link nel percorso dei log del driver.

Microsoft corresse CVE-2021-24092 il 9 febbraio 2021. La falla aveva CVSS 7.8, con vettore CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

BTR.sys poteva rimanere inosservato perché normalmente non è presente sul disco: viene estratto e attivato solo quando necessario, con un nome casuale, quindi rimosso. L’uso offensivo di driver integrati per interferire con gli endpoint non è comunque inedito: il gruppo FIN7 aveva già combinato driver Windows e componenti di Process Explorer nello strumento AvNeutralizer.

Negli ultimi 90 giorni il catalogo KEV della CISA ha inoltre incluso sei vulnerabilità relative a prodotti Microsoft: CVE-2026-55040 e CVE-2026-33824 il 18 agosto 2026, CVE-2026-68820 l’11 agosto 2026, CVE-2026-50522 il 22 luglio 2026, CVE-2026-58644 il 16 luglio 2026 e CVE-2026-45659 il 1° luglio 2026. Quest’ultima è contrassegnata come sfruttata in campagne ransomware.

BTR Reforged non è una voce CVE e non risulta indicata come elemento del catalogo KEV. Non esiste quindi, per questa tecnica, una scadenza CISA di mitigazione da applicare.

Rilevamento e misure per i team IT

La prima misura pratica è limitare con rigore l’assegnazione di SeLoadDriverPrivilege. Il privilegio dovrebbe essere disponibile solo agli account e ai servizi che ne hanno una necessità documentata, con particolare attenzione agli amministratori locali e agli strumenti di gestione remota.

I team di sicurezza possono cercare alcune sequenze anomale nei log Sysmon e Windows:

• Sysmon Event ID 15 – FileCreateStreamHash su un file il cui nome termina con .sys:changelist, possibile Alternate Data Stream contenente la configurazione cifrata;
• Sysmon Event ID 12 o 13 – RegistryEvent per la creazione di una chiave di servizio con Args contenente :changelist e Group impostato su Boot Bus Extender;
• assenza dell’evento Windows 7045 in corrispondenza della creazione della chiave;
• Sysmon Event ID 11 seguito da Event ID 23 per la rapida creazione e cancellazione di \SystemRoot\Temp\BootClean.log;
• caricamento rilevato con Sysmon Event ID 6, seguito immediatamente dalla cancellazione del file con Event ID 23, in entrambi i casi attribuiti a System/PID 4.

BootClean.log è un percorso incorporato nel driver e può comparire anche durante attività legittime. Da solo non dimostra un attacco: acquista valore soprattutto quando coincide con la creazione della chiave di servizio, l’assenza dell’evento 7045 e modifiche anomale ai componenti di Defender.

Il proof of concept BTR_CLI è disponibile su GitHub con licenza MIT e include binari x64 e x86. Le organizzazioni possono usarlo in ambienti isolati per validare regole di rilevamento e risposta, evitando però di eseguirlo su sistemi di produzione.