Ein legitimer, von Microsoft signierter Treiber aus Windows Defender kann für weitreichende Systemänderungen missbraucht werden. Das zeigt eine Untersuchung von Check Point Research zum Treiber BTR.sys, der eigentlich dazu dient, gesperrte oder schädliche Dateien während eines Neustarts zu entfernen.
Die Forscher konnten nach eigenen Angaben nachweisen, dass BTR.sys nicht nur Dateien löschen, sondern auch verschieben, schreiben und Registry-Einträge verändern kann. Dadurch ließen sich beispielsweise Dateien in geschützte Windows-Verzeichnisse kopieren, Sicherheitsdienste manipulieren oder Einstellungen für den automatischen Programmstart anlegen. Die Aktionen erfolgen auf Kernel-Ebene – also in einem besonders privilegierten Bereich des Betriebssystems.
Kein klassischer Windows-Exploit
BTR.sys ist Bestandteil der Defender-Komponente MpEngine.dll. Windows legt den Treiber normalerweise nur dann kurzfristig auf der Festplatte ab, wenn eine Bereinigung erst nach einem Neustart möglich ist. Dabei erhält die Datei einen zufälligen Namen und wird über einen temporären Dienst geladen.
Die Experten stellten fest, dass dieser Ablauf nachgebildet und für eigene Befehle verwendet werden kann. Die Forscher entwickelten dafür das Proof-of-Concept-Werkzeug BTR_CLI. Es kann den Treiber aus der lokalen Defender-Komponente extrahieren, eine verschlüsselte Konfiguration erstellen und den Treiber anschließend für Datei- oder Registry-Operationen einsetzen.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenSchwachstelle funktioniert nur mit Admin-Rechten
Für die Ausführung benötigen Angreifer allerdings bereits Administratorrechte einschließlich des Windows-Rechts zum Laden von Kernel-Treibern. BTR.sys ermöglicht daher nicht automatisch den ersten Zugriff auf einen Rechner. Nach einer erfolgreichen Kompromittierung kann der Treiber jedoch helfen, Schutzmechanismen zu umgehen und Spuren zu beseitigen.
Besonders problematisch ist die Möglichkeit, BTR.sys für den Start während des Bootvorgangs einzuplanen. Der Treiber arbeitet dann zu einem Zeitpunkt, an dem das Dateisystem bereits beschreibbar ist, zentrale Sicherheitsdienste aber noch nicht vollständig laufen. Check Point bezeichnet diesen Zeitraum als „Golden Window“. In Tests konnte BTR.sys Dateien und Registry-Einträge von Windows Defender verändern, bevor der eigentliche Defender-Dienst gestartet war. Die Forscher demonstrierten unter anderem, dass sich Defender-Komponenten entfernen und Schutzkonfigurationen beeinflussen lassen.
Check Point betont, dass bislang keine Hinweise auf einen Einsatz der Methode in realen Angriffen gefunden wurden. Die Veröffentlichung beschreibt daher derzeit vor allem eine praktisch demonstrierte Möglichkeit und keine bestätigte Angriffskampagne.
Aktuelle Lösung der Experten
Check Point nennt keinen klassischen Patch. Der Microsoft Security Response Center bewertet die Technik nicht als unmittelbar zu behebende Sicherheitslücke, weil sie bereits weitreichende Administratorrechte voraussetzt. Die aktuelle Abwehr besteht deshalb aus einer Kombination von empfohlenen Maßnahmen: Das Recht zum Laden von Treibern muss auf notwendige Konten beschränkt, seine Nutzung überwacht und der Start signierter Treiber anhand von Herkunft und Verhalten bewertet werden. EDR-Regeln sollten außerdem ungewöhnliche BTR.sys-Aktivitäten, ADS-Erstellung und Kernel-seitige Änderungen an Sicherheitsdateien erkennen.
Mehr bei CheckPoint.com
Über Check Point Check Point Software Technologies GmbH (www.checkpoint.com/de) ist ein führender Anbieter von Cybersicherheits-Lösungen für öffentliche Verwaltungen und Unternehmen weltweit. Die Lösungen schützen Kunden vor Cyberattacken mit einer branchenführenden Erkennungsrate von Malware, Ransomware und anderen Arten von Attacken. Check Point bietet eine mehrstufige Sicherheitsarchitektur, die Unternehmensinformationen in CloudUmgebungen, Netzwerken und auf mobilen Geräten schützt sowie das umfassendste und intuitivste „One Point of Control“-Sicherheits-Managementsystem. Check Point schützt über 100.000 Unternehmen aller Größen.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Microsoft-Defender-Treiber kann von Angreifern missbraucht werden
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Entdeckung von Check Point Research bezüglich des legitimen Microsoft-Defender-Treibers BTR.sys als signifikante Analyse im Bereich der Bring Your Own Vulnerable Driver (BYOVD)- und Post-Exploitation-Techniken des Jahres 2026 ein. Der von Microsoft digital signierte Treiber – regulär genutzt zur Dateibereinigung während des Systemneustarts – kann von Angreifern auf Kernel-Ebene missbraucht werden, um Dateien und Registry-Einträge geschützter Windows-Komponenten zu manipulieren. Da das Microsoft Security Response Center (MSRC) die Methode nicht als unmittelbare Sicherheitslücke einstuft (Voraussetzung sind bestehende Admin-Rechte), steht derzeit kein klassischer Patch zur Verfügung.
Key-Takeaways
- Legitimer Treiber als Angriffs-Tool: Der digital signierte Defender-Treiber
BTR.sys(Teil derMpEngine.dll) kann extrahiert und missbraucht werden, um Kernel-seitig Dateien zu verschieben, zu schreiben oder Registry-Einträge zu ändern. - Voraussetzung lokaler Admin-Rechte: Die Technik dient nicht dem Erstzugriff (Initial Access), sondern der Privilegienerweiterung, Defense Evasion und Spurenbeseitigung nach einer bereits erfolgten Kompromittierung.
- Ausnutzung des „Golden Window“ beim Booten: Durch die Einplanung während des Startvorgangs arbeitet
BTR.syszu einem Zeitpunkt, an dem das Dateisystem beschreibbar ist, zentrale EDR-/Defender-Schutzdienste aber noch nicht geladen sind. - Proof-of-Concept BTR_CLI: Sicherheitsforscher demonstrierten via PoC das Deaktivieren von Defender-Komponenten und das Manipulieren von Sicherheits-Registries vor Systemstart.
- Bisher keine Angriffe in freier Wildbahn: Es liegen aktuell keine Hinweise auf eine aktive Operationalisierung in realen Cyberangriffskampagnen vor.
Strategische Analyse
Die PoC-Demonstration von Check Point Research zeigt eindringlich, dass auch vertrauenswürdige, herstellereigene Betriebssystem-Komponenten nach einer Erstkompromittierung als Waffe gegen die integrierte Sicherheitsinfrastruktur eingesetzt werden können. Da Microsoft mangels Rechtemodell-Verletzung (Admin-Rechte liegen bereits vor) keinen Patch bereitstellt, verlagert sich die Verantwortung zur Abwehr vollständig auf das Security Monitoring. Verteidiger müssen akzeptieren, dass signierte Treiber keine pauschale Immunität besitzen und die Ausführung von Kernel-Treibern – insbesondere in sensiblen Startphasen – streng überwacht werden muss.
Handlungsempfehlung:
SOC-Teams und Windows-Systemadministratoren sollten gezielte Monitoring- und Beschränkungsmaßnahmen umsetzen:
- Treiber-Lade-Privilegien einschränken: Beschränken Sie das Windows-Recht zum Laden von Kernel-Treibern (
SeLoadDriverPrivilege) strikt auf hochgradig geschützte Administrator-Konten. - EDR/XDR-Erkennungsregeln für BTR.sys anpassen: Implementieren Sie Verhaltensregeln, die das Extrahieren von
BTR.sysaus derMpEngine.dll, unerwartete Interaktionen mit Alternate Data Streams (ADS) sowie das manuelle Erstellen von Diensten zur Treiber-Ausführung melden. - Boot-Time-Sicherheit verstärken: Nutzen Sie Windows-Funktionen wie Early Launch Anti-Malware (ELAM) und Hypervisor-Protected Code Integrity (HVCI), um das Laden unautorisierter Treiberkonfigurationen während der Boot-Phase zu unterbinden.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200