BTR.sys è il driver di rimedio all'avvio di Microsoft Defender. È progettato per eseguirsi nelle prime fasi dell'avvio, così che Defender possa rimuovere malware ostinati, riparare file bloccati e pulire voci di registro che potrebbero non essere modificabili una volta che Windows è completamente in esecuzione.
Nel campo della sicurezza informatica, BTR.sys è importante perché è codice attendibile e firmato con privilegi a livello di kernel. Se un attaccante ha già privilegi locali sufficienti, in particolare SeLoadDriverPrivilege, potrebbe essere in grado di indirizzare questo driver legittimo a eseguire operazioni su file o registro come parte di un flusso di lavoro post-compromissione. Questo lo rende un esempio di abuso di codice attendibile: il componente non è dannoso di per sé, ma la sua autorità può essere sfruttata in modo improprio. I difensori dovrebbero limitare i diritti di caricamento dei driver, monitorare l'attività dei driver e considerare gli strumenti di sicurezza all'avvio come superfici di attacco ad alto valore.