Was ist passiert?
Check Point Research hat eine kritische Sicherheitslücke offengelegt: Der Boot-Time-Remediation-Treiber BTR.sys von Microsoft Defender kann von Angreifern missbraucht werden, um beliebige Kernel-Level-Operationen auf Windows-Systemen auszuführen. Der Treiber ist Microsoft-signiert und ermöglicht das Löschen von Sicherheitssoftware beim Systemstart – ohne dass ein Software-Fehler oder externer Code erforderlich ist. Betroffen sind Windows 7 bis Windows 11 25H2.
Hintergrund & Bedeutung
BTR.sys ist ein legitimates Microsoft-Tool zur Behebung von Malware-Problemen während des Boot-Vorgangs. Weil es mit hohen Privilegien läuft und Microsoft-signiert ist, wird es vom System vertraut. Angreifer können diesen vertrauenswürdigen Status ausnutzen, um:
- Sicherheitssoftware zu deaktivieren oder zu löschen
- Registry-Einträge zu manipulieren
- Persistente Malware zu installieren
- Systemschutzmaßnahmen zu umgehen
Dies ist ein klassisches „Living-off-the-Land“-Szenario, bei dem legitime Systemtools als Waffe missbraucht werden. Die Technik erfordert zunächst administrativen Zugriff, stellt aber dann eine erhebliche Bedrohung dar.
Empfehlungen für IT-Teams
- Patches einspielen: Microsoft-Sicherheitsupdates prioritär installieren
- Berechtigungen prüfen: Administrative Zugriffe minimieren und monitoren
- Boot-Prozess schützen: Secure Boot und UEFI-Firmware-Schutz aktivieren
- EDR-Lösungen: Kernel-Level-Aktivitäten mit Endpoint Detection & Response überwachen
- Alerts konfigurieren: Unerwartete BTR.sys-Aktivitäten protokollieren
Fazit
Diese Schwachstelle zeigt, dass selbst Microsoft-Tools zur Bedrohungsbekämpfung zum Angriffsvktor werden können. IT-Teams sollten sofort ihre Systeme überprüfen und Schutzmaßnahmen erhöhen.
Quelle: Original Artikel