Especialistas em segurança da Check Point Research revelaram uma técnica preocupante que aproveita um componente interno do Microsoft Defender para executar operações de alto privilégio em sistemas Windows.
O método se baseia no driver BTR.sys, sigla para Boot Time Removal Tool, que é um componente oficial e devidamente assinado pela Microsoft. Esse driver foi originalmente desenvolvido para realizar ações corretivas durante a inicialização do sistema operacional, como a remoção de arquivos e modificações em entradas do registro do Windows.
De acordo com os pesquisadores, a técnica possibilita a execução de operações arbitrárias no nível do kernel em computadores que rodam desde o Windows 7 até o Windows 11 25H2. O aspecto mais alarmante da descoberta é que o ataque não requer a exploração de nenhuma falha de software existente, nem a importação de drivers externos para funcionar.
O driver BTR.sys, apesar de ser um componente legítimo da Microsoft, pode ser manipulado para eliminar programas de segurança, alterar configurações do sistema e realizar outras ações prejudiciais durante o processo de boot do Windows.
Analistas de segurança alertam que essa descoberta representa uma ameaça significativa tanto para ambientes corporativos quanto para usuários domésticos, uma vez que utiliza ferramentas nativas da Microsoft para executar atividades maliciosas.
A Check Point Research recomenda que empresas e organizações revisem suas políticas de proteção e considerem a implementação de camadas adicionais de segurança para se proteger contra esse tipo de técnica que abusa de componentes confiáveis do sistema operacional.
A gigante de tecnologia Redmond ainda não se pronunciou oficialmente sobre a descoberta. Esse tipo de vulnerabilidade levanta questões importantes sobre o equilíbrio entre funcionalidades de segurança e o potencial de uso indevido de componentes legítimos do sistema.
Fonte: The Hacker News
