Uma ferramenta criada para ajudar o Microsoft Defender a eliminar ameaças persistentes também pode ser transformada em uma poderosa arma contra as próprias defesas do Windows.
Pesquisadores de segurança demonstraram uma técnica chamada BTR Reforged, capaz de reaproveitar o driver legítimo BTR.sys, utilizado pelo Microsoft Defender durante processos de correção executados na inicialização do Windows.
O componente opera no kernel e possui privilégios suficientes para manipular arquivos e entradas do Registro que normalmente estariam protegidos enquanto o sistema está funcionando. A pesquisa mostrou que um invasor que já tenha obtido privilégios administrativos adequados pode abusar dessas capacidades para atingir softwares de segurança.
O aspecto mais preocupante é que não estamos diante de um driver malicioso instalado pelo criminoso. O componente é legítimo, assinado pela Microsoft e faz parte da infraestrutura do próprio Defender.
BTR.sys foi criado para remover ameaças persistentes
Alguns arquivos maliciosos não podem ser facilmente eliminados enquanto o Windows está funcionando.
Eles podem estar carregados na memória, bloqueados por processos ou protegidos por mecanismos do próprio sistema operacional.
Para resolver situações desse tipo, o Microsoft Defender utiliza um mecanismo de remoção durante a inicialização.
O BTR.sys — Boot-Time Removal Tool — entra em ação justamente nesse momento.
O driver pode realizar operações privilegiadas antes que vários componentes do sistema estejam completamente carregados. Essa capacidade permite remover arquivos que seriam difíceis de manipular posteriormente.
Pesquisadores transformaram o mecanismo em ferramenta controlável
Ao realizar engenharia reversa do BTR.sys, pesquisadores conseguiram compreender seu formato interno de comunicação e a maneira como recebe instruções.
A partir desse trabalho foi desenvolvida uma prova de conceito capaz de fornecer operações ao driver.
O resultado demonstrou que o componente pode ser utilizado para realizar ações arbitrárias sobre arquivos e chaves do Registro diretamente a partir do kernel do Windows.
Entre as possibilidades demonstradas estão exclusão e movimentação de arquivos, remoção de diretórios e alteração de diferentes informações do Registro.
Ataque acontece em uma janela privilegiada da inicialização
Uma das partes mais relevantes da técnica aparece quando o computador é reiniciado.
Existe um pequeno período durante o boot no qual o sistema de arquivos já pode ser modificado, mas diversos componentes de segurança ainda não terminaram de iniciar.
Os pesquisadores descrevem esse momento como uma espécie de “janela dourada”.
O BTR.sys consegue executar operações nesse período.
Isso significa que arquivos pertencentes a antivírus ou plataformas EDR podem ser removidos antes que seus próprios mecanismos de autoproteção estejam totalmente ativos.
Defender foi removido mesmo com proteção contra adulteração
Uma demonstração realizada pelos pesquisadores mostrou o potencial da técnica em um computador executando uma versão atualizada do Windows 11.
Mesmo com o Tamper Protection, mecanismo criado justamente para dificultar alterações não autorizadas no Microsoft Defender, a prova de conceito conseguiu remover componentes da solução durante a inicialização.
O problema não fica necessariamente restrito ao Defender.
Como o driver consegue manipular arquivos privilegiados, o mesmo princípio pode representar uma ameaça para outros softwares de segurança instalados no computador.
Não é uma vulnerabilidade tradicional
Existe uma diferença importante neste caso.
Os pesquisadores não descobriram um simples erro de programação que permite executar código remotamente.
A técnica explora funcionalidades legítimas existentes no próprio driver.
Isso torna o problema mais complexo.
O componente precisa possuir poderes elevados porque sua função original é justamente remover malware em situações nas quais métodos convencionais não funcionam.
O risco aparece quando essas capacidades passam a ser controladas por alguém que já comprometeu o sistema.
Ataque exige privilégios administrativos
A descoberta não significa que qualquer pessoa na internet consiga simplesmente desligar o Microsoft Defender.
Para utilizar a técnica demonstrada, o atacante precisa possuir uma conta administrativa com o privilégio necessário para carregar drivers.
Essa é uma barreira importante.
Na prática, BTR Reforged funciona principalmente como uma técnica de pós-exploração.
Primeiro, o criminoso precisaria conseguir acesso privilegiado ao computador. Depois, poderia utilizar o driver para enfraquecer as ferramentas responsáveis por detectar as próximas etapas do ataque.
Técnica foge do tradicional BYOVD
Ataques contra ferramentas de segurança utilizando drivers não são novidade.
Uma técnica bastante conhecida é chamada de Bring Your Own Vulnerable Driver (BYOVD).
Nesse modelo, o invasor leva para o computador um driver legítimo, mas vulnerável, assinado por algum fabricante.
Depois utiliza a vulnerabilidade existente nesse componente para obter operações privilegiadas.
Fabricantes podem reagir adicionando esses drivers a listas de bloqueio.
O caso do BTR.sys é diferente.
O invasor utiliza um componente necessário ao próprio Microsoft Defender.
Bloqueá-lo completamente poderia comprometer funcionalidades legítimas da solução de segurança.
Pesquisa não encontrou ataques reais utilizando a técnica
Apesar do potencial, existe uma informação importante para dimensionar corretamente o risco.
Os pesquisadores afirmam que não encontraram evidências de que criminosos estejam utilizando atualmente o BTR.sys dessa maneira em ataques reais.
Até agora, portanto, trata-se de uma técnica demonstrada em pesquisa de segurança.
Essa antecipação pode ser importante porque permite que empresas desenvolvam mecanismos de detecção antes que grupos criminosos eventualmente incorporem o método às suas ferramentas.
Microsoft não classificou o caso como falha que exige correção imediata
A descoberta também foi comunicada à Microsoft.
Segundo os pesquisadores, o caso não foi considerado pela empresa como uma vulnerabilidade tradicional que exigisse correção imediata, justamente porque a exploração depende de o atacante já possuir privilégios administrativos específicos no computador.
Isso não elimina o risco.
Em operações de ransomware e espionagem, conseguir privilégios administrativos normalmente representa apenas uma etapa do ataque.
Depois disso, criminosos frequentemente procuram maneiras de desativar antivírus e EDRs antes de implantar suas cargas maliciosas.
É exatamente nesse ponto que uma técnica como BTR Reforged poderia se tornar valiosa.
O próprio software confiável pode virar arma
A descoberta reforça uma tendência importante na cibersegurança moderna.
Atacantes estão cada vez mais interessados em utilizar ferramentas legítimas já presentes nos computadores.
Essa abordagem reduz a necessidade de introduzir executáveis desconhecidos que poderiam ser rapidamente detectados.
No caso do BTR Reforged, essa lógica chega ao extremo: o componente que potencialmente pode ser utilizado para desativar as defesas é fornecido pelo próprio sistema responsável por protegê-las.
Para empresas, a principal lição é que confiar apenas na reputação ou na assinatura digital de um componente deixou de ser suficiente.
O comportamento também precisa ser monitorado.
Em um cenário no qual invasores conseguem transformar ferramentas administrativas e componentes legítimos do Windows em armas, a fronteira entre software confiável e atividade maliciosa passa a depender cada vez mais do contexto em que aquela ferramenta está sendo utilizada.
