Un controlador legítimo de Microsoft Defender, llamado Boot-Time Removal (BTR.sys), puede ser manipulado para realizar operaciones avanzadas en el núcleo (kernel) del sistema, tanto en archivos como en el registro. Según una investigación de Check Point, esto permitiría que atacantes con privilegios de administrador neutralicen las protecciones de seguridad del endpoint. No se trata de una vulnerabilidad convencional, sino de un caso de "Living-off-the-Land", donde un componente confiable y firmado por Microsoft es utilizado como arma.

El controlador legítimo de eliminación al arranque (BTR.sys) de Microsoft Defender puede ser reutilizado para realizar potentes operaciones de archivos y registro a nivel de kernel, lo que potencialmente permitiría que atacantes con privilegios administrativos neutralicen las protecciones de seguridad de los endpoints.

La investigación de Check Point no describe una vulnerabilidad convencional o un fallo de corrupción de memoria; en su lugar, expone cómo un componente de remediación confiable y firmado por Microsoft puede convertirse en un controlador "Living-off-the-Land" cuando se reproduce su protocolo de transacciones no documentado.

El controlador de Microsoft Defender puede ser convertido en arma

BTR.sys está integrado dentro de MpEngine.dll de Microsoft Defender y se despliega cuando Defender necesita completar una tarea de remediación tras el reinicio, como eliminar un archivo bloqueado por el sistema operativo.

Durante una actividad legítima, el controlador puede aparecer con un nombre de archivo y un nombre de servicio generados aleatoriamente, utilizar un flujo de datos alternativo (ADS) llamado :changelist para su configuración cifrada, ejecutar sus operaciones en cola y luego limpiarse.

Estos comportamientos pueden parecerse a las técnicas de carga de kernel durante una investigación de respuesta a incidentes, a pesar de formar parte de la arquitectura normal de remediación de Defender.

Según los hallazgos de ingeniería inversa compartidos por Check Point Research, el formato de transacción patentario del controlador se basa en un bloque de configuración cifrado con RC4 protegido por comprobaciones de integridad.

La configuración puede contener instrucciones para eliminar archivos y directorios, mover archivos, eliminar claves y valores del registro y escribir datos en el registro. En efecto, una transacción válida puede dirigir a un controlador firmado de Microsoft a realizar operaciones privilegiadas desde el Ring 0.

El equipo de investigación creó BTR_CLI, una herramienta de prueba de concepto que construye transacciones aceptadas y prepara el controlador para su ejecución.

La principal preocupación de seguridad es el tiempo. BTR.sys opera como un controlador de inicio del sistema en lugar de uno de inicio de arranque porque necesita acceso al sistema de archivos y a las rutas de Windows durante la inicialización.

Cuando se asigna al grupo de orden de carga temprano "Boot Bus Extender", puede ejecutarse después de que el sistema de archivos esté disponible pero antes de que se inicialicen muchos componentes de seguridad en modo usuario.

Los investigadores llaman a este intervalo "ventana dorada", durante la cual el controlador podría eliminar binarios de seguridad o modificar la configuración del registro de servicios relacionados antes de que comience la pila de protección completa de un producto antivirus o EDR.

A diferencia de los ataques tradicionales de "Trae tu propio controlador vulnerable" (BYOVD), este enfoque no depende de la carga de un controlador de terceros con vulnerabilidades conocidas.

BTR.sys es un componente integrado de Microsoft con una firma válida, lo que complica los controles de seguridad que tratan las firmas de los controladores como una señal de confianza principal.

Los investigadores afirmaron que no encontraron evidencia de abuso en entornos reales al momento del análisis, pero la publicación pública de la metodología hace que la detección proactiva sea cada vez más importante.

Mecanismo / Parámetro	Especificación de Implementación	Impacto en la Seguridad
Origen del Controlador	Extraído de MpEngine.dll (recurso BOOTTIMETOOL)	La firma válida de Microsoft evade las reglas de bloqueo de controladores
Ruta de Configuración	Flujo de Datos Alternativo (.sys:changelist)	Preparación sigilosa de parámetros que evita los escaneos de archivos estándar
Cifrado y Hashing	Cifrado de flujo RC4 con CRC-32 modificado	Ejecución validada por integridad sin corrupción de memoria
Grupo de Orden de Carga	Boot Bus Extender (Controlador de Inicio del Sistema)	Se anticipa a los agentes de seguridad en modo usuario en la "ventana dorada"
Capacidades de Ejecución	Mover/eliminar archivos de kernel, escribir/eliminar registro	Modificación sin restricciones en Ring-0 de activos protegidos del sistema

Si eres un defensor de la seguridad, debes monitorizar el contexto de despliegue sospechoso de BTR.sys en lugar de confiar únicamente en los hashes de archivos o las firmas de Microsoft. El Evento ID 15 de Sysmon, FileCreateStreamHash, registra la creación de flujos de archivos con nombre y puede ayudarte a identificar actividad anómala de ADS en .sys:changelist.

El Evento ID 6 de Sysmon, DriverLoad, registra las cargas de controladores junto con los detalles de hash y firma, lo que lo hace útil para correlacionar la actividad inusual de controladores firmados con el proceso que los desplegó.

Las señales de alto valor incluyen un controlador de remediación de Defender escrito o registrado por PowerShell, shells de comandos, herramientas no firmadas u otros procesos fuera del linaje normal de Defender; claves de servicio aleatorias que contienen un valor Args que hace referencia a :changelist; y cargas de controladores firmados por Microsoft seguidas de la eliminación a nivel de SYSTEM de binarios de seguridad.

Tus equipos de seguridad también deberían investigar la creación y eliminación rápida de BootClean.log, archivos de retroalimentación anómalos respaldados por ADS en rutas de controladores y la creación de claves de servicio que carezcan de un registro de instalación esperado del Service Control Manager.

Tu organización debería controlar y auditar estrictamente el privilegio SeLoadDriverPrivilege, recopilar telemetría de carga de controladores y ADS, aplicar políticas de control de aplicaciones donde sea factible y construir detecciones basadas en el linaje de ejecución, cambios de persistencia al arranque y operaciones sospechosas atribuidas al proceso del Sistema.

Fuentes:
https://cybersecuritynews.com/defender-driver-can-be-weaponized/