Il driver firmato che può rivoltare Defender contro se stesso

Nella sicurezza di Windows, gli strumenti più pericolosi sono spesso quelli costruiti per salvare il sistema. Una recente divulgazione tecnica ha messo in forte evidenza questo paradosso mostrando come il driver di remediation all'avvio di Microsoft Defender, BTR.sys, possa essere riutilizzato per eseguire operazioni su file e registro a livello kernel. La tecnica non dipende da un exploit software tradizionale né da un driver esterno caricato sulla macchina. Invece, trasforma un componente Microsoft legittimo e firmato in una primitiva post-compromissione.

Fatti rapidi

• BTR.sys è un driver di remediation all'avvio di Microsoft Defender usato per la rimozione di malware ostinati.
• La tecnica descritta può eseguire azioni su file e registro dalla modalità kernel se un attaccante dispone già del giusto livello di accesso.
• L'ambito della ricerca copre da Windows 7 a Windows 11 25H2.
• Check Point Research ha riferito di non aver trovato prove di abusi nel mondo reale al momento della divulgazione.
• La principale raccomandazione difensiva è limitare SeLoadDriverPrivilege.

Perché è importante

Il problema centrale è la fiducia. BTR.sys esiste per aiutare Defender a rimuovere malware durante il processo di avvio, quando alcuni file e chiavi di registro possono essere ancora bloccati. Questo lo rende prezioso durante la pulizia, ma anche interessante per un intruso che ha già superato la soglia amministrativa. In questo caso, la parte rischiosa non è un bug nel senso tradizionale. È il fatto che un driver firmato e incluso nel sistema possa essere indirizzato a svolgere lavoro distruttivo una volta che un operatore dispone di privilegi sufficienti.

Quel privilegio è SeLoadDriverPrivilege, il diritto di Windows che consente di caricare driver di dispositivo. Microsoft lo considera sensibile per un motivo: una volta attivo, un driver opera con privilegi kernel. Il punto dei ricercatori non è che un utente qualsiasi possa attivare questo percorso, ma che un attaccante locale già privilegiato possa abusare di un flusso di remediation attendibile.

La tecnica mette inoltre in evidenza un problema pratico di rilevamento. Il blocco standard è meno immediato quando il componente fa parte dello stack di sicurezza del sistema operativo stesso. Se i difensori provassero a neutralizzare BTR.sys in modo generico, potrebbero compromettere la legittima capacità di pulizia all'avvio di Defender. Questo lascia agli amministratori un insieme di controlli più ristretto ma più realistico: ridurre chi può caricare driver e monitorare comportamenti che sembrano abuso di driver, invece di attendere un hash noto malevolo.

Al momento della stesura, le informazioni pubbliche non hanno ancora stabilito pienamente l'ambito completo dell'uso nel mondo reale, l'impronta operativa precisa o se i sistemi a valle siano stati interessati. Le informazioni disponibili supportano una valutazione del rischio, non un'affermazione definitiva di abuso diffuso.

C'è anche un contesto storico. BTR.sys era stato in precedenza collegato a CVE-2021-24092, un problema separato corretto nel 2021. Quella vecchia falla non è la stessa tecnica appena descritta, ma mostra perché i driver di sicurezza attirino un esame ripetuto: una volta che esiste un componente kernel attendibile, ricercatori e attaccanti cercheranno entrambi di verificare fino a che punto la sua autorità possa essere estesa.

Conclusione

La lezione è scomoda ma utile: la fiducia nel software di sicurezza non riguarda solo le firme, ma anche i privilegi, il timing e chi può indirizzare il codice dopo il caricamento. Quando un percorso di remediation diventa un'arma, la difesa migliore non è presumere che il kernel sia intoccabile. È ridurre i diritti di caricamento dei driver, strumentare la sequenza di avvio e trattare i componenti attendibili come superfici d'attacco di alto valore.

WIKICROOK

• Ring 0: Il livello di privilegio più alto in Windows, in cui il codice in modalità kernel esegue un controllo esteso sul sistema.
• SeLoadDriverPrivilege: Un diritto utente di Windows che consente a un processo di caricare o scaricare driver di dispositivo.
• BTR.sys: Il driver di remediation all'avvio di Microsoft Defender, usato per rimuovere malware ostinati durante l'avvio.
• WDAC: Windows Defender Application Control, un framework di criteri per limitare quale codice può essere eseguito.
• Sysmon: Uno strumento di telemetria di Windows che registra attività dettagliate di processi, file, registro e driver per il rilevamento.