📰 Informação fresquinha chegando para você!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
A Check Point Research divulgou uma técnica que usa o driver de remediação de tempo de inicialização legitimamente assinado do Microsoft Defender para executar arquivos arbitrários em nível de kernel e operações de registro em sistemas Windows que vão do Windows 7 ao Windows 11 25H2, sem nenhuma falha de software explorada e nenhum driver importado de fora da máquina.
O driver, BTR.sys (Boot Time Removal Tool), é um componente necessário do Windows, o que significa que não pode ser adicionado à lista de bloqueio de drivers vulneráveis da Microsoft ou bloqueado por meio do Windows Defender Application Control (WDAC) sem interromper o próprio Defender.
Jiří Vinopal, pesquisador de ameaças e engenheiro reverso da Check Point Research, apresentou as descobertas como um briefing de palco principal no Black Hat USA 2026 e DEF CON 34 em Las Vegas e publicou o documento de pesquisa que o acompanha juntamente com uma ferramenta de prova de conceito, BTR_CLI, em 20 de agosto de 2026. A Check Point Research disse que não encontrou nenhuma evidência de que a técnica tenha sido usada em ataques no mundo real.
“Durante nossa análise de todas as amostras coletadas e fontes de telemetria, não observamos evidências de abuso de BTR.sys no mundo real da maneira demonstrada nesta pesquisa. Isso sugere que a técnica é atualmente desconhecida ou não utilizada pelos atores da ameaça, tornando viável a engenharia de detecção proativa antes que o armamento apareça na natureza”, disse a Check Point Research.
BTR.sys está incorporado no MpEngine.dll do Defender como o recurso BOOTTIMETOOL e é implantado quando o Defender deve terminar a remoção do malware após uma reinicialização, excluindo arquivos ou entradas de registro que foram bloqueadas enquanto o Windows estava em execução.
Vinopal fez engenharia reversa do protocolo de transação proprietário e não documentado do driver e descobriu que cada blob de configuração passado para BTR.sys é criptografado RC4 com uma chave de 256 bytes codificada na seção .rdata de cada compilação BTR.sys enviada desde o Windows 7, verificada inalterada em 18 versões exclusivas de 64 bits.
BTR_CLI, a ferramenta de prova de conceito, localiza MpEngine.dll em Atualizações de definição do Defender e extrai o binário BTR.sys incorporado.
A ferramenta então constrói uma transação criptografada válida. Em seguida, ele instala o driver como um serviço por meio de gravações diretas no registro HKLM usando Type = 1, Start = 1 e Group = "Boot Bus Extender", um método que ignora totalmente o Service Control Manager e não gera nenhuma entrada de ID de evento 7045 do Windows (serviço instalado).
Quando carregado, o BTR.sys executa as operações na fila do Anel 0, atribuídas em telemetria ao processo do Sistema (PID 4), e pode excluir arquivos e diretórios bloqueados, mover arquivos para caminhos irrestritos, incluindo System32\drivers, excluir chaves e valores de registro e gravar novos valores de registro de qualquer tipo.
Um segundo modo de disparo agenda essas operações para a próxima reinicialização.
O driver então é executado durante o que Vinopal chama de “janela dourada”, o intervalo após o sistema de arquivos se tornar gravável, mas antes dos serviços de modo de usuário do Defender serem iniciados, permitindo que o BTR.sys remova fisicamente binários de segurança como WdFilter.sys e MsMpEng.exe antes que eles possam se bloquear.
Uma demonstração ao vivo na Black Hat mostrou BTR_CLI excluindo toda a pilha do Defender de uma máquina Windows 11 25H2 totalmente atualizada com proteção contra adulteração ativa.
A exploração requer uma conta de administrador com SeLoadDriverPrivilege, que o BTR_CLI habilita automaticamente para contas que já o possuem.
Ao contrário dos ataques que dependem da técnica traga seu próprio driver vulnerável, que depende de drivers assinados por terceiros conhecidos e vulneráveis que podem ser adicionados às listas de bloqueio, a técnica BTR Reforged usa um driver integrado em cada instalação do Windows a partir do Windows 7.
“A questão não é uma vulnerabilidade no sentido tradicional, mas sim um limite de confiança arquitetural que pode ser ultrapassado se um invasor já tiver privilégios administrativos. Após a divulgação responsável, o MSRC confirmou que essas descobertas não atendem aos critérios para serviço imediato, já que a técnica depende de privilégios administrativos pré-existentes (SeLoadDriverPrivilege)”, disse a Check Point Research no artigo.
O repositório GitHub da Vinopal para BTR_CLI acrescenta que “Nenhum patch está planejado”, uma caracterização que a Microsoft não confirmou publicamente.
O BTR.sys foi examinado por pesquisadores de segurança em busca de uma falha diferente no mesmo driver cinco anos antes.
Em fevereiro de 2021, o pesquisador do SentinelLabs, Kasif Dekel, divulgou CVE-2021-24092, uma vulnerabilidade de escalonamento de privilégios que permitia que um não administrador local sobrescrevesse arquivos arbitrários colocando um link físico no caminho de log do driver. A Microsoft corrigiu CVE-2021-24092 em 9 de fevereiro de 2021.
“Presumimos que esta vulnerabilidade permaneceu desconhecida até agora porque o driver normalmente não está presente no disco rígido, mas é descartado e ativado quando necessário (com um nome aleatório) e depois eliminado”, disse Kasif Dekel na divulgação do SentinelLabs.
O driver, BTR.sys (Boot Time Removal Tool), é um componente necessário do Windows, o que significa que não pode ser adicionado à lista de bloqueio de drivers vulneráveis da Microsoft ou bloqueado por meio do Windows Defender Application Control (WDAC) sem interromper o próprio Defender.
Jiří Vinopal, pesquisador de ameaças e engenheiro reverso da Check Point Research, apresentou as descobertas como um briefing de palco principal no Black Hat USA 2026 e DEF CON 34 em Las Vegas e publicou o documento de pesquisa que o acompanha juntamente com uma ferramenta de prova de conceito, BTR_CLI, em 20 de agosto de 2026. A Check Point Research disse que não encontrou nenhuma evidência de que a técnica tenha sido usada em ataques no mundo real.
“Durante nossa análise de todas as amostras coletadas e fontes de telemetria, não observamos evidências de abuso de BTR.sys no mundo real da maneira demonstrada nesta pesquisa. Isso sugere que a técnica é atualmente desconhecida ou não utilizada pelos atores da ameaça, tornando viável a engenharia de detecção proativa antes que o armamento apareça na natureza”, disse a Check Point Research.
BTR.sys está incorporado no MpEngine.dll do Defender como o recurso BOOTTIMETOOL e é implantado quando o Defender deve terminar a remoção do malware após uma reinicialização, excluindo arquivos ou entradas de registro que foram bloqueadas enquanto o Windows estava em execução.
Vinopal fez engenharia reversa do protocolo de transação proprietário e não documentado do driver e descobriu que cada blob de configuração passado para BTR.sys é criptografado RC4 com uma chave de 256 bytes codificada na seção .rdata de cada compilação BTR.sys enviada desde o Windows 7, verificada inalterada em 18 versões exclusivas de 64 bits.
BTR_CLI, a ferramenta de prova de conceito, localiza MpEngine.dll em Atualizações de definição do Defender e extrai o binário BTR.sys incorporado.
A ferramenta então constrói uma transação criptografada válida. Em seguida, ele instala o driver como um serviço por meio de gravações diretas no registro HKLM usando Type = 1, Start = 1 e Group = "Boot Bus Extender", um método que ignora totalmente o Service Control Manager e não gera nenhuma entrada de ID de evento 7045 do Windows (serviço instalado).
Quando carregado, o BTR.sys executa as operações na fila do Anel 0, atribuídas em telemetria ao processo do Sistema (PID 4), e pode excluir arquivos e diretórios bloqueados, mover arquivos para caminhos irrestritos, incluindo System32\drivers, excluir chaves e valores de registro e gravar novos valores de registro de qualquer tipo.
Um segundo modo de disparo agenda essas operações para a próxima reinicialização.
O driver então é executado durante o que Vinopal chama de “janela dourada”, o intervalo após o sistema de arquivos se tornar gravável, mas antes dos serviços de modo de usuário do Defender serem iniciados, permitindo que o BTR.sys remova fisicamente binários de segurança como WdFilter.sys e MsMpEng.exe antes que eles possam se bloquear.
Uma demonstração ao vivo na Black Hat mostrou BTR_CLI excluindo toda a pilha do Defender de uma máquina Windows 11 25H2 totalmente atualizada com proteção contra adulteração ativa.
A exploração requer uma conta de administrador com SeLoadDriverPrivilege, que o BTR_CLI habilita automaticamente para contas que já o possuem.
Ao contrário dos ataques que dependem da técnica traga seu próprio driver vulnerável, que depende de drivers assinados por terceiros conhecidos e vulneráveis que podem ser adicionados às listas de bloqueio, a técnica BTR Reforged usa um driver integrado em cada instalação do Windows a partir do Windows 7.
“A questão não é uma vulnerabilidade no sentido tradicional, mas sim um limite de confiança arquitetural que pode ser ultrapassado se um invasor já tiver privilégios administrativos. Após a divulgação responsável, o MSRC confirmou que essas descobertas não atendem aos critérios para serviço imediato, já que a técnica depende de privilégios administrativos pré-existentes (SeLoadDriverPrivilege)”, disse a Check Point Research no artigo.
O repositório GitHub da Vinopal para BTR_CLI acrescenta que “Nenhum patch está planejado”, uma caracterização que a Microsoft não confirmou publicamente.
O BTR.sys foi examinado por pesquisadores de segurança em busca de uma falha diferente no mesmo driver cinco anos antes.
Em fevereiro de 2021, o pesquisador do SentinelLabs, Kasif Dekel, divulgou CVE-2021-24092, uma vulnerabilidade de escalonamento de privilégios que permitia que um não administrador local sobrescrevesse arquivos arbitrários colocando um link físico no caminho de log do driver. A Microsoft corrigiu CVE-2021-24092 em 9 de fevereiro de 2021.
“Presumimos que esta vulnerabilidade permaneceu desconhecida até agora porque o driver normalmente não está presente no disco rígido, mas é descartado e ativado quando necessário (com um nome aleatório) e depois eliminado”, disse Kasif Dekel na divulgação do SentinelLabs.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #o #próprio #driver #do #microsoft #defender #pode #ser #armado #para #excluir #software #de #segurança #na #inicialização
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário