Was ist passiert?
Check Point Research hat eine kritische Schwachstelle in Microsoft Defender aufgedeckt: Der Boot-Zeit-Treiber BTR.sys (Boot Time Removal Tool) kann von Angreifern missbraucht werden, um beliebige Kernel-Level-Operationen auf Windows-Systemen durchzuführen. Betroffen sind alle Windows-Versionen von Windows 7 bis Windows 11 25H2. Das Besondere: Es wird keine Software-Schwachstelle ausgenutzt und kein externer Treiber benötigt – nur der legitimately signierte Microsoft-eigene Treiber.
Hintergrund & Bedeutung
Der BTR.sys-Treiber ist ein vertrauenswürdiger Komponente von Microsoft Defender, der bei jedem Systemstart mit Kernel-Priviligien ausgeführt wird. Durch diese Technik können Angreifer Sicherheitssoftware deaktivieren, manipulieren oder vollständig löschen – und das ohne klassischen Exploit oder Privilegien-Eskalation. Da der Treiber von Microsoft signiert ist, passiert er alle Standard-Sicherheitskontrollen. Dies ist ein klassischer Fall von „Living off the Land“ – dem Missbrauch legitimer Systemkomponenten zu bösen Zwecken.
Empfehlungen für IT-Teams
- Sofort patchen: Microsoft-Updates für Defender einspielen, sobald sie verfügbar sind
- Monitoring: BTR.sys-Aktivitäten und unautorisierte Kernel-Operationen überwachen
- EDR-Lösungen: Endpoint Detection & Response Tools aktivieren zur Früherkennung anomaler Boot-Aktivitäten
- Kernel-Schutz: Windows Defender Exploit Guard und Code Integrity Checks aktivieren
- Richtlinien: Strikte Zugriffskontrolle auf Boot-Komponenten implementieren
Fazit
Diese Entdeckung zeigt, dass selbst legitime Sicherheitskomponenten bei fehlender Validierung zur Waffe werden können. IT-Teams müssen Defender-Updates priorisieren und ihre Überwachungsmechanismen verstärken.
Quelle: Original Artikel