Des chercheurs sont parvenus à détourner un pilote légitime de Microsoft Defender à des fins offensives. Conçu pour éliminer les menaces, ce composant peut aussi servir à mettre l’antivirus hors jeu au démarrage.
Pour neutraliser un antivirus ou un EDR, les cybercriminels s’appuient régulièrement sur des pilotes légitimes mais vulnérables, technique nommée BYOVD (Bring Your Own Vulnerable Driver), qu’ils chargent sur une machine déjà compromise afin de pouvoir agir directement au niveau du noyau. Les chercheurs de Check Point ont trouvé une approche plus embarrassante pour Microsoft. Leur méthode, baptisée BTR Reforged, ne nécessite aucun pilote tiers ni l’exploitation d’une faille logicielle. Elle détourne directement BTR.sys, un composant signé par Microsoft et fourni avec Defender depuis Windows 7.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Un composant conçu pour éliminer les menaces, capable… d’éliminer Defender
BTR.sys, pour Boot Time Removal Tool, remplit normalement une mission de sécurité. Microsoft Defender l’utilise lorsqu’il doit supprimer des fichiers ou des entrées du registre impossibles à traiter pendant le fonctionnement normal de Windows, par exemple parce qu’ils sont verrouillés. L’antivirus prépare alors les opérations à effectuer et laisse son pilote intervenir très tôt lors du prochain démarrage.
En analysant son fonctionnement, Check Point a rétroconçu le format propriétaire utilisé pour lui transmettre ces instructions. Les chercheurs ont notamment découvert que les données de configuration reposent sur une clé codée en dur dans le pilote, inchangée dans les 18 versions 64 bits de BTR.sys analysées, de Windows 7 à Windows 11 25H2.
À partir de ces travaux, l’équipe a développé BTR_CLI, un outil de preuve de concept capable d’extraire BTR.sys directement depuis le moteur de Defender, puis de lui soumettre ses propres instructions. Une fois chargé avec cette configuration forgée, le pilote peut supprimer ou déplacer des fichiers, effacer des clés et des valeurs du registre, mais aussi en créer de nouvelles. Tout est exécuté au niveau du noyau de Windows, avec les privilèges les plus élevés du système.
Ces capacités sont d’autant plus problématiques que BTR.sys peut, comme on l’a vu, intervenir très tôt au redémarrage, après l’initialisation du système de fichiers et le chargement des premiers pilotes de sécurité, mais avant le démarrage des principaux services de Defender en espace utilisateur, dans un intervalle que Check Point qualifie de « Golden Window ». Le pilote peut alors supprimer sur le disque des composants essentiels de Defender, comme WdFilter.sys, son filtre chargé de surveiller les accès aux fichiers, ou MsMpEng.exe, son processus principal, avant que l’ensemble de la protection soit pleinement opérationnel.
Lors d’une démonstration menée sur un système Windows 11 25H2 à jour, les chercheurs ont ainsi réussi à démanteler Defender malgré l’activation de Tamper Protection, sa fonction censée empêcher les modifications non autorisées de ses réglages et composants.
Pas de correctif immédiat nécessaire, selon Microsoft
La découverte n’offre toutefois pas à un malware fraîchement installé les clés du noyau Windows. Pour exploiter BTR.sys de cette manière, l’attaquant doit déjà disposer de privilèges administrateur et des droits nécessaires au chargement d’un pilote. BTR Reforged n’est donc exploitable qu’après une première compromission de la machine et ne constitue pas, à lui seul, une technique d’élévation de privilèges.
Une condition qui explique en partie la position de Microsoft. Après signalement au Microsoft Security Response Center (MSRC), l’entreprise a estimé, selon Check Point, que la technique ne remplissait pas les critères justifiant un correctif urgent, précisément parce qu’elle suppose des privilèges administrateur préexistants. Toujours est-il que BTR Reforged est désormais public, documenté dans le détail et directement reproductible à l’aide du PoC mis en ligne sur GitHub.
Check Point recommande donc de surveiller plus étroitement les conditions dans lesquelles BTR.sys est chargé, ainsi que la création inhabituelle de ses données de configuration. Surtout, les chercheurs conseillent de restreindre au maximum le droit permettant à un compte de charger des pilotes dans Windows (SeLoadDriverPrivilege).
Participer à la discussion
Partagez votre avis avec la communauté Clubic.