A Check Point Research apresentou uma técnica chamada BTR Reforged, que transforma um componente legítimo do Microsoft Defender em uma ferramenta capaz de realizar operações privilegiadas dentro do Windows.
O componente explorado é:
BTR.sys
BTR significa Boot Time Removal Tool.
Esse driver é utilizado pelo Microsoft Defender quando determinados arquivos maliciosos não podem ser removidos enquanto o Windows está em funcionamento.
Nesses casos, o Defender agenda a remoção para ocorrer durante a inicialização seguinte do computador, antes que vários serviços e aplicações sejam carregados. (The Hacker News)
O pesquisador Jiří Vinopal, da Check Point, analisou 18 versões assinadas do BTR.sys, desde o Windows 7 até o Windows 11 25H2. (Check Point Blog)
O que é o BTR.sys?
O BTR.sys é um driver legítimo e assinado pela Microsoft.
Ele fica incorporado ao mecanismo do Defender e pode ser ativado quando a solução precisa remover arquivos ou entradas do Registro que estão bloqueados durante a execução normal do sistema.
Em termos simples
Imagine um malware que não pode ser apagado porque está sendo utilizado pelo Windows.
O Defender pode programar a remoção para acontecer durante a próxima inicialização.
O BTR.sys entra em ação em um momento no qual o disco já pode ser modificado, mas boa parte das aplicações e proteções ainda não terminou de carregar.
É exatamente essa capacidade legítima que os pesquisadores descobriram que poderia ser reutilizada de forma ofensiva. (The Hacker News)
Técnica não depende de uma falha tradicional
Um dos pontos mais importantes da pesquisa é que não existe uma vulnerabilidade convencional sendo explorada.
O BTR.sys está realizando operações para as quais foi originalmente desenvolvido.
O problema está na possibilidade de um usuário com privilégios administrativos utilizar esse mecanismo legítimo para fornecer suas próprias instruções ao driver. (The Hacker News)
Por esse motivo:
- não existe CVE específica para o BTR Reforged;
- a técnica não depende de corrupção de memória;
- não é necessário introduzir um driver vulnerável de terceiros;
- o componente utilizado já pertence ao próprio Microsoft Defender. (The Hacker News)
Driver utiliza uma chave incorporada há anos
Durante a engenharia reversa, o pesquisador descobriu que as configurações enviadas ao BTR.sys são protegidas utilizando RC4.
O ponto relevante é que uma chave de 256 bytes permanece incorporada dentro das diferentes versões do driver analisadas.
Segundo a Check Point, essa mesma chave foi observada nas 18 versões de 64 bits estudadas, abrangendo sistemas desde o Windows 7. (The Hacker News)
Ao entender o formato esperado pelo driver, o pesquisador conseguiu produzir instruções compatíveis com o mecanismo legítimo do BTR.
O que um invasor poderia fazer?
A pesquisa demonstra que o BTR.sys pode realizar diferentes operações privilegiadas em arquivos e no Registro do Windows.
Entre as capacidades observadas estão:
- excluir arquivos e diretórios;
- mover arquivos;
- remover chaves e valores do Registro;
- criar valores no Registro;
- executar essas operações a partir do contexto do kernel. (The Hacker News)
O ponto mais crítico é que algumas dessas operações podem ser programadas para acontecer durante a inicialização do sistema.
“Janela de ouro” ocorre antes das proteções carregarem
A Check Point chama de “golden window”, ou janela de ouro, o intervalo durante a inicialização em que o sistema de arquivos já está disponível para escrita, mas os componentes do Defender em modo usuário ainda não começaram a funcionar completamente. (The Hacker News)
Nesse período, o driver possui capacidade de remover arquivos que posteriormente seriam protegidos por processos e mecanismos de segurança.
Durante a apresentação na Black Hat USA 2026, o pesquisador demonstrou a remoção de componentes do Defender em um computador totalmente atualizado com Windows 11 25H2 e com Tamper Protection habilitado. (The Hacker News)
Componentes do Defender podem ser removidos
Entre os arquivos mencionados na demonstração estão:
WdFilter.sys
e
MsMpEng.exe
O primeiro está associado ao driver de filtro do Defender, enquanto o segundo está ligado ao serviço antimalware da Microsoft.
A demonstração mostrou que esses componentes poderiam ser removidos antes que conseguissem se proteger durante a inicialização. (The Hacker News)
Ataque exige privilégios administrativos
Existe uma limitação importante.
Um atacante não consegue utilizar essa técnica simplesmente acessando remotamente um computador comum.
Segundo a Check Point, é necessário já possuir uma conta administrativa com o privilégio:
SeLoadDriverPrivilege (The Hacker News)
Isso significa que o BTR Reforged deve ser visto principalmente como uma técnica de pós-exploração.
Em um cenário real
O fluxo seria mais próximo de:
comprometimento inicial → obtenção de privilégios administrativos → abuso do BTR.sys → desativação ou remoção de proteções
Portanto, a pesquisa não representa uma maneira de obter privilégios administrativos do zero.
Ela demonstra o que um invasor já privilegiado poderia fazer para enfraquecer ainda mais as defesas do sistema.
Técnica difere do BYOVD
Ataques contra soluções de segurança frequentemente utilizam uma técnica conhecida como:
BYOVD — Bring Your Own Vulnerable Driver
Nesse cenário, o criminoso leva para o computador um driver legítimo e assinado, mas que possui uma vulnerabilidade conhecida.
Depois, utiliza essa falha para obter operações privilegiadas no kernel.
A Microsoft mantém inclusive mecanismos destinados a bloquear drivers conhecidos como vulneráveis.
No BTR Reforged é diferente
O atacante não precisa trazer um driver externo vulnerável.
Ele utiliza um componente do próprio Defender.
Segundo a Check Point, bloquear completamente o BTR.sys por mecanismos como a Microsoft Vulnerable Driver Blocklist ou o Windows Defender Application Control — WDAC também não é uma solução simples, porque o driver faz parte das próprias funcionalidades legítimas do Defender. (The Hacker News)
Microsoft não classificou o comportamento como vulnerabilidade
A Check Point informou ter comunicado a pesquisa à Microsoft.
Segundo os pesquisadores, o Microsoft Security Response Center avaliou que a técnica não atende aos critérios para uma correção imediata porque depende de privilégios administrativos pré-existentes. (The Hacker News)
A Check Point também afirma que não existe CVE associada especificamente ao BTR Reforged.
A declaração de que “nenhum patch está planejado” aparece no material dos pesquisadores, mas o The Hacker News ressalta que essa caracterização não havia sido confirmada publicamente pela Microsoft no momento da publicação. (The Hacker News)
Não há evidências de exploração em ataques reais
Outro ponto importante é separar pesquisa de exploração ativa.
A Check Point informou que analisou amostras e telemetria disponíveis e não encontrou evidências de criminosos utilizando o BTR.sys dessa forma em ataques reais. (The Hacker News)
Portanto:
a técnica foi demonstrada em laboratório e apresentada publicamente, mas não existe confirmação de uso por grupos de ameaça até o momento da pesquisa.
Isso pode mudar no futuro, especialmente depois da divulgação pública dos detalhes, motivo pelo qual a Check Point publicou recomendações de detecção.
Como detectar possível abuso?
Como o driver é legítimo, procurar apenas pelo arquivo BTR.sys não é suficiente.
A própria Check Point recomenda buscar comportamentos associados ao uso anormal do componente.
Eventos que merecem atenção
Entre os sinais apresentados pelos pesquisadores estão:
- criação de uma configuração associada a um arquivo .sys;
- chaves de serviço relacionadas ao grupo Boot Bus Extender;
- criação de serviço sem o evento convencional de instalação correspondente;
- criação e rápida exclusão do arquivo BootClean.log;
- carregamento do driver seguido imediatamente pela exclusão de arquivos pelo processo System. (The Hacker News)
Em ambientes que utilizam Sysmon, a Check Point cita especificamente eventos como:
Event ID 6
Event ID 11
Event ID 12
Event ID 13
Event ID 15
Event ID 23 (The Hacker News)
Esses eventos devem ser correlacionados com contexto, pois o próprio Defender pode utilizar o BTR de maneira legítima.
Como reduzir o risco?
A principal recomendação da Check Point é restringir cuidadosamente o privilégio:
SeLoadDriverPrivilege (The Hacker News)
Como a técnica exige capacidade de carregar drivers, reduzir o número de contas que possuem esse privilégio diminui significativamente a superfície disponível.
Proteja contas administrativas
Empresas devem revisar:
- quem possui privilégios administrativos locais;
- quais contas possuem SeLoadDriverPrivilege;
- uso de contas administrativas compartilhadas;
- autenticações administrativas incomuns;
- elevação de privilégios em endpoints.
Monitore alterações nas proteções
Também devem gerar alertas atividades como:
- desaparecimento inesperado de componentes do Defender;
- alterações de drivers durante o boot;
- mudanças nas configurações de segurança;
- falhas inesperadas do Defender após reinicialização;
- criação incomum de serviços de driver.
Análise Técnica CyberX
O problema é uma fronteira de confiança
O BTR Reforged é um bom exemplo de uma categoria de risco diferente de uma vulnerabilidade tradicional.
Não existe necessariamente uma função defeituosa ou um buffer overflow.
O problema está na confiança depositada em um componente extremamente privilegiado.
O Windows permite que o BTR.sys faça operações perigosas porque essas mesmas operações são necessárias para remover malware resistente.
A pesquisa mostra que:
uma capacidade defensiva legítima também pode se transformar em uma capacidade ofensiva quando o contexto de confiança é comprometido.
Administrador não deve significar controle absoluto irrestrito
É correto observar que um atacante com privilégios administrativos já possui grande poder sobre uma máquina.
Porém, sistemas modernos implementam diversas camadas para impedir que até administradores desativem facilmente mecanismos de segurança.
O Tamper Protection existe justamente para dificultar alterações não autorizadas em componentes do Defender.
Por isso, conseguir contornar essas barreiras através de um driver legítimo continua sendo relevante mesmo que o atacante já possua privilégios elevados.
A vantagem para o atacante está no kernel
A maior diferença está no nível onde as operações ocorrem.
O BTR.sys executa em Ring 0, dentro do kernel.
Nesse nível, as operações possuem privilégios superiores aos processos convencionais executados pelo usuário.
Durante a inicialização, o driver também possui uma vantagem temporal: ele pode agir antes que determinados controles defensivos estejam completamente ativos.
Esse é um ponto particularmente importante em ataques contra EDR e antivírus.
Assinatura digital não significa comportamento seguro
A técnica também reforça uma regra importante para defesa de endpoints:
“assinado pela Microsoft” não significa automaticamente “impossível de abusar”.
Assinatura digital comprova a origem e integridade de um componente.
Ela não garante que suas funcionalidades não possam ser utilizadas de maneira inesperada por alguém que já possui privilégios suficientes.
Esse princípio também se aplica a:
- ferramentas administrativas;
- drivers legítimos;
- PowerShell;
- WMI;
- PsExec;
- utilitários de gerenciamento.
O contexto de utilização continua sendo fundamental.
Detecção por comportamento é mais importante que IOC
Neste caso, não existe um hash malicioso tradicional para simplesmente bloquear.
O próprio driver legítimo pode estar presente em qualquer instalação do Windows.
Isso significa que a detecção precisa analisar relações entre eventos.
Por exemplo:
criação de configuração do BTR → registro do driver → reinicialização → exclusão de componentes de segurança
Essa sequência oferece muito mais contexto que observar isoladamente a presença de um arquivo Microsoft assinado.
Privilégios administrativos continuam sendo o principal ponto de controle
Como a técnica exige SeLoadDriverPrivilege, impedir que o atacante chegue até esse nível continua sendo a principal defesa.
A CyberX recomenda priorizar:
- Least Privilege;
- remoção de administradores locais desnecessários;
- LAPS/Windows LAPS;
- Privileged Access Management;
- MFA para contas administrativas;
- EDR com proteção contra adulteração;
- monitoramento de elevação de privilégios;
- restrição do SeLoadDriverPrivilege.
Recomendação CyberX
Organizações não precisam bloquear o BTR.sys indiscriminadamente.
Isso poderia interferir no funcionamento legítimo do Microsoft Defender.
A prioridade deve ser detectar utilização fora do contexto esperado.
SOCs podem criar correlações envolvendo:
- carregamento do BTR;
- criação incomum de serviços de boot;
- alterações no Boot Bus Extender;
- exclusão do BootClean.log;
- modificações em arquivos do Defender;
- falhas do Defender imediatamente após um reboot.
Outro ponto importante é proteger o caminho até privilégios administrativos.
Se o atacante nunca consegue obter uma conta com permissão para carregar drivers, a cadeia descrita pela pesquisa não consegue avançar.
Conclusão
A pesquisa BTR Reforged demonstra que até um componente criado especificamente para remover malware pode ser transformado em uma ferramenta ofensiva quando utilizado por alguém com privilégios suficientes.
O BTR.sys é legítimo, assinado pela Microsoft e faz parte do próprio Microsoft Defender. Ainda assim, pesquisadores conseguiram reutilizar suas funcionalidades para realizar operações de kernel e remover componentes de segurança durante a inicialização do Windows. (The Hacker News)
A técnica exige privilégios administrativos e não há evidência conhecida de exploração em ataques reais até o momento, portanto não deve ser tratada como um zero-day remoto ou uma falha que permite comprometer qualquer computador Windows diretamente. (The Hacker News)
O principal alerta para empresas é outro:
quando um atacante conquista privilégios administrativos, até componentes confiáveis do próprio sistema operacional podem ser reutilizados para enfraquecer as defesas existentes.
Referências
Esta notícia foi elaborada a partir da matéria publicada pelo The Hacker News em 21 de agosto de 2026 e validada com as informações apresentadas pela Check Point Research sobre o BTR Reforged durante a Black Hat USA 2026. (The Hacker News)
Malware transforma centrais Android de carros em botnetPesquisadores da Kaspersky descobriram uma campanha que infecta centrais multimídia automotivas baseadas em Android…
Pacotes npm maliciosos instalam backdoor RedC2 em sistemas LinuxPesquisadores da TrendAI identificaram 14 pacotes trojanizados no npm que se apresentam como utilitários legítimos…
Clop usa web shell avançado para roubar dados do PTC WindchillPesquisadores da ReliaQuest identificaram um web shell personalizado, altamente provavelmente ligado ao grupo Clop/…
CISA alerta para falhas críticas exploradas em macOS, SharePoint, vCenter e Windo…A CISA adicionou quatro vulnerabilidades críticas ao catálogo de falhas conhecidamente exploradas, confirmando ataq…
Phishing 3.0 coloca IA contra IA na nova geração de ataquesAtaques de phishing estão evoluindo de mensagens genéricas com links maliciosos para campanhas personalizadas que c…
StopAndProtect usa sites WordPress invadidos para espalhar malware e roubar dadosPesquisadores da Check Point identificaram uma operação cibercriminosa chamada StopAndProtect que utiliza quase 2 m…