Resumen de la investigación

Check Point Research ha publicado un método que aprovecha el driver BTR.sys (Boot Time Removal Tool) de Microsoft Defender. El driver, que ya está firmado y presente en el sistema, puede ser invocado para realizar operaciones arbitrarias sobre archivos y el registro durante la fase de arranque, sin requerir ninguna vulnerabilidad ni la carga de componentes externos.

Técnica detectada

El atacante carga el driver BTR.sys mediante la infraestructura de reparación de arranque de Defender y, una vez activo, ejecuta comandos que borran o modifican componentes críticos de soluciones de seguridad instaladas. La operación se lleva a cabo antes de que el sistema operativo esté completamente operativo, lo que dificulta la detección temprana.

"No se necesita ninguna vulnerabilidad", señala Check Point Research.

Alcance

La prueba se ha reproducido en entornos que van desde Windows 7 hasta Windows 11 25H2, cubriendo la mayor parte de los despliegues corporativos actuales.

Riesgos

  • Eliminación de antivirus, EDR y otras herramientas de protección antes de que arranquen.
  • Posibilidad de instalar payloads persistentes con privilegios de kernel.
  • Reducción de la superficie de defensa sin que el usuario perciba anomalías.

Mitigación recomendada

  • Supervisar la carga de drivers firmados en tiempo de arranque.
  • Aplicar las últimas actualizaciones de Microsoft Defender y de Windows.
  • Implementar soluciones de detección de comportamiento a nivel de kernel que alerten sobre operaciones de archivo/registro inusuales durante el boot.

Cobertura de detección en DefensOps

  • Plan mínimo: Essential
  • Técnicas MITRE: N/A
  • Cobertura: motor de correlación genérico que identifica la actividad sospechosa del driver BTR.sys en el arranque.

¿Estás cubierto en DefensOps?

Nuestro plan Essential incluye reglas de correlación que detectan la ejecución del driver BTR.sys y actividades de eliminación de software de seguridad en la fase de arranque, alineadas con las mejores prácticas de detección. No dejes que esta técnica pase desapercibida.

Solicita una demo o consulta nuestros precios aquí.

Fuente: https://thehackernews.com/2026/08/microsoft-defenders-own-driver-can-be.html