Microsoft Defender má chránit Windows před malwarem. Bezpečnostní výzkumníci ale ukázali poněkud absurdní scénář: k obejití této ochrany lze zneužít přímo komponentu, která je její součástí. Výzkumník Jiří Vinopal z Check Point Research analyzoval kernelový ovladač BTR.sys, známý jako Boot Time Removal Tool. Jeho úkolem je při startu systému odstranit škodlivé nebo uzamčené soubory, které Defender nedokáže bezpečně smazat za běhu Windows. Výzkum s názvem BTR Reforged ukázal, že po rozebrání interního komunikačního mechanismu ovladače lze BTR.sys přimět k provádění vlastních operací. Nejde přitom o klasickou zranitelnost ovladače. BTR.sys je legitimní, Microsoftem podepsaná součást systému. A právě v tom je celý problém.
Defender má vlastní nástroj na mazání souborů
BTR.sys není běžný ovladač, který by byl permanentně nainstalovaný a čekal na příkazy útočníka. Je součástí enginu Microsoft Defenderu a je ukrytý uvnitř MpEngine.dll jako PE resource. Pokud Defender potřebuje odstranit soubor až po restartu, ovladač dočasně extrahuje, pojmenuje ho náhodným názvem a použije ho během bootu. Dává to smysl. Některé soubory může malware nebo samotný systém držet otevřené a Defender je za běžného provozu nedokáže odstranit. Při restartu je ale možné provést úklid dříve, než se načtou všechny komponenty Windows. BTR.sys tedy dostal poměrně jednoduchou, ale velmi silnou schopnost:
odstraňovat soubory a upravovat určité části systému ještě během startu.
Výzkumníci se následně podívali na to, jak přesně Defender tomuto ovladači předává instrukce.
Výzkumníci se naučili „mluvit“ s BTR.sys
BTR.sys nepoužívá běžné rozhraní IOCTL, které by člověk očekával u klasického kernelového ovladače. Instrukce dostává prostřednictvím konfiguračního blobu, na který ukazuje hodnota Args v registru služby ovladače. A data nejsou uložena v otevřené podobě. Check Point zjistil, že konfigurační data jsou šifrována pomocí RC4. Ještě zajímavější je, že stejný 256bajtový klíč byl nalezen v 18 různých 64bitových verzích BTR.sys, které výzkumníci analyzovali. Tyto verze pokrývaly různé generace Windows až po Windows 11 25H2. Jakmile výzkumník reverzním inženýrstvím rozluštil formát těchto transakcí, ukázalo se, že BTR.sys není omezený pouze na jednu konkrétní operaci. Umí například mazat soubory, přesouvat je a provádět operace nad registrem. Některé z těchto schopností lze při zneužití využít také k zápisu do systému.
Přichází na řadu „zlaté okno“
Nejdůležitější část celého výzkumu se odehrává během bootování.
Windows při startu postupně načítá jednotlivé vrstvy systému. BTR.sys může být spuštěn velmi brzy, v době, kdy je souborový systém už dostupný pro zápis, ale běžné uživatelské komponenty Defenderu ještě nejsou spuštěné a nemohou své soubory chránit. Check Point tuto fázi označuje jako „Golden Window“ – zlaté okno. Je to vlastně závod mezi dvěma částmi stejného bezpečnostního systému. Na jedné straně:
BTR.sys → běží v kernelu → může provést naplánované operace
Na druhé:
Defender → teprve se spouští → ještě nemá možnost zasáhnout
A právě této situace lze zneužít.
Defender může být odstraněn vlastním nástrojem
Check Point na aktualizovaném systému Windows 11 25H2 předvedl scénář, při kterém BTR.sys odstranil důležité komponenty Defenderu. Výzkumníci nejprve pomocí ovladače odstranili příslušné servisní klíče Defenderu. Následně připravili operace, které se měly provést při dalším restartu. Během bootu pak BTR.sys odstranil například WdFilter.sys a MsMpEng.exe, tedy komponenty zásadní pro fungování ochrany. Výsledkem bylo, že po restartu nebyl Defender v původní podobě schopen pokračovat v ochraně systému. A tady se objevuje další zajímavý detail. Protože operace provádí podepsaný Microsoftí kernelový ovladač, může obejít ochranné mechanismy, které by normálně zabránily běžnému procesu manipulovat s Defenderem. Check Point konkrétně demonstroval obejití Tamper Protection.
Nejde ale o útok na dálku
Tohle je potřeba zdůraznit, protože titulky typu „Microsoft Defender lze vypnout“ mohou být zavádějící.
BTR Reforged není způsob, jak se dostat do počítače.
Útočník musí mít už předem administrátorská oprávnění a potřebné privilegium SeLoadDriverPrivilege. Samotná technika tedy není eskalací oprávnění.
Scénář vypadá spíše takto:
útočník získá přístup → získá administrátorská práva → obejde ochranu → odstraní Defender → pokračuje v útoku
BTR Reforged je tedy především post-exploitation technika pro defense evasion.
Je to poslední krok útoku, nikoliv jeho začátek.
Proč to není klasické BYOVD
Tady je výzkum ještě zajímavější.
V posledních letech se hodně mluví o technice BYOVD – Bring Your Own Vulnerable Driver.
Útočník si v takovém případě přinese legitimně podepsaný, ale zranitelný ovladač třetí strany. Přes jeho chybu pak získá přístup do kernelu a může například manipulovat s bezpečnostním softwarem.
Microsoft se proti podobným útokům snaží používat seznamy blokovaných zranitelných ovladačů.
BTR.sys je ale úplně jiný případ.
Útočník si nemusí přinést žádný cizí ovladač.
BTR.sys je legitimní komponenta Microsoftu a Defender ho ke své vlastní práci potřebuje. Zablokovat ho stejným způsobem jako známý zranitelný ovladač by proto mohlo rozbít samotnou funkci Defenderu.
To je také důvod, proč Check Point problém popisuje spíš jako architektonickou hranici důvěry než jako klasickou chybu v ovladači.
Microsoft zatím opravu nechystá
Check Point oznámil Microsoftu své zjištění už v únoru 2026. Microsoft Security Response Center podle výzkumníků dospěl k závěru, že nejde o bezpečnostní chybu vyžadující okamžitou opravu. Hlavním důvodem je skutečnost, že útočník už musí mít administrátorská oprávnění a SeLoadDriverPrivilege. K 23. srpnu 2026 tedy není pro BTR Reforged samostatný patch ani CVE. To ale neznamená, že je problém nezajímavý. Právě naopak.
Bezpečnostní tým totiž musí počítat s tím, že pokud útočník už administrátorský účet získal, může se pokusit zneužít legitimní mechanismy systému místo toho, aby do počítače přidával podezřelý ovladač.
Jak se dá útok poznat?
Dobrou zprávou je, že výzkumníci zatím nenašli důkazy o reálném používání této techniky útočníky. Výzkum tak představuje především zveřejněný způsob útoku, na který se mohou obránci připravit.
Check Point zároveň popsal několik zajímavých indikátorů.
Jedním z nich je například neočekávané vytváření Alternate Data Streamu s názvem :changelist. Dalším je kombinace načtení ovladače a následného mazání souborů procesem System s PID 4.
Pro bezpečnostní týmy tedy může být zajímavé sledovat například:
- neobvyklé ADS streamy končící na
.sys:changelist, - načtení neobvyklého ovladače během bootu,
- následné mazání systémových souborů procesem
System, - neočekávané změny klíčů Defenderu v registru,
- manipulaci se soubory souvisejícími s
BootClean.log, - a především nestandardní využití oprávnění
SeLoadDriverPrivilege.
Právě kombinace těchto událostí může být výrazně zajímavější než hledání jediného souboru nebo hashe.
BTR.sys už jednou bezpečnostní problém měl
Zajímavé je, že BTR.sys není v bezpečnostním výzkumu úplným nováčkem.V roce 2021 byla v mechanismu Windows Defenderu nalezena skutečná zranitelnost CVE-2021-24092, která umožňovala lokální eskalaci oprávnění. Výzkum tehdy ukázal problém související s mechanismem BootClean.log a hardlinky. Microsoft chybu následně opravil.To je ale potřeba od dnešního výzkumu jasně oddělit. CVE-2021-24092 byla skutečná chyba, která byla opravena. BTR Reforged žádnou takovou chybu nepotřebuje. Nový výzkum pouze ukázal, že legitimní schopnosti ovladače lze při znalosti jeho interního protokolu využít způsobem, který původní autoři nepočítali.
Obrana bude tentokrát hlavně o detekci
Protože není co jednoduše „zalepit“, přesouvá se velká část obrany na monitoring.
Pro administrátory a bezpečnostní týmy je nejdůležitější zabránit tomu, aby běžný uživatel nebo kompromitovaná aplikace vůbec získali administrátorská oprávnění, a zároveň omezovat používání privilegia SeLoadDriverPrivilege pouze na účty a procesy, které ho skutečně potřebují.
Druhou vrstvou je monitoring.
Pokud se na počítači objeví kombinace:
- načtení kernelového ovladače → změny Defenderu → mazání systémových souborů → restart
- mělo by to být důvodem k okamžitému vyšetření.
- Zvlášť pokud se taková aktivita objeví mimo běžnou aktualizaci nebo opravu systému.
Když se ochranný mechanismus obrátí proti ochraně
Na BTR Reforged je možná nejzajímavější právě jeho paradox.Microsoft vytvořil ovladač, který má pomoci Defenderu odstranit malware, který nejde odstranit za běžného provozu.Výzkumník pak zjistil, jak tomuto ovladači předat vlastní instrukce a výsledkem může být situace, kdy:
- Defender použije vlastní nástroj k odstranění něčeho, co tam nechce.
- Jenže tentokrát tím „něčím“ mohou být jeho vlastní ochranné komponenty.
- Není to tedy další příběh o tom, že někde existuje starý děravý ovladač, který si útočník stáhne z internetu.
- Je to mnohem zajímavější ukázka problému, který se v bezpečnosti objevuje stále častěji:
- legitimní a důvěryhodná funkce může být ve špatném kontextu použita proti svému původnímu účelu.
- A právě proto stojí BTR Reforged za pozornost, i když k jeho zneužití musí útočník nejprve získat administrátorský přístup.
Zdroje
- https://research.checkpoint.com/2026/btr-reforged-weaponizing-defenders-remediation-driver-as-a-kernel-operation-primitive/
- https://thehackernews.com/2026/08/microsoft-defenders-own-driver-can-be.html
- https://github.com/Dump-GUY/BTR_CLI
- https://www.sentinelone.com/labs/cve-2021-24092-12-years-in-hiding-a-privilege-escalation-vulnerability-in-windows-defender/
