Des chercheurs retournent Microsoft Defender contre lui-même, Microsoft ne juge pas le problème prioritaire

Des chercheurs sont parvenus à détourner un pilote légitime de Microsoft Defender à des fins offensives. Conçu pour éliminer les menaces, ce composant peut aussi servir à mettre l’antivirus hors jeu au démarrage.

Pour neutraliser un antivirus ou un EDR, les cybercriminels s’appuient régulièrement sur des pilotes légitimes mais vulnérables, technique nommée BYOVD ( Bring Your Own Vulnerable Driver ), qu’ils chargent sur une machine déjà compromise afin de pouvoir agir directement au niveau du noyau. Les chercheurs de Check Point ont trouvé une approche plus embarrassante pour Microsoft. Leur méthode, baptisée BTR Reforged , ne nécessite aucun pilote tiers ni l’exploitation d’une faille logicielle. Elle détourne directement BTR.sys , un composant signé par Microsoft et fourni avec Defender depuis Windows 7.

Bitdefender La solution tout-en-un pour protéger votre entreprise Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !

BTR.sys , pour Boot Time Removal Tool , remplit normalement une mission de sécurité. Microsoft Defender l’utilise lorsqu’il doit supprimer des fichiers ou des entrées du registre impossibles à traiter pendant le fonctionnement normal de Windows, par exemple parce qu’ils sont verrouillés. L’antivirus prépare alors les opérations à effectuer et laisse son pilote intervenir très tôt lors du prochain démarrage.

En analysant son fonctionnement, Check Point a rétroconçu le format propriétaire utilisé pour lui transmettre ces instructions. Les chercheurs ont notamment découvert que les données de configuration reposent sur une clé codée en dur dans le pilote, inchangée dans les 18 versions 64 bits de BTR.sys analysées, de Windows 7 à Windows 11 25H2.

À partir de ces travaux, l’équipe a développé BTR_CLI, un outil de preuve de concept capable d’extraire BTR.sys directement depuis le moteur de Defender, puis de lui soumettre ses propres instructions. Une fois chargé avec cette configuration forgée, le pilote peut supprimer ou déplacer des fichiers, effacer des clés et des valeurs du registre, mais aussi en créer de nouvelles. Tout est exécuté au niveau du noyau de Windows, avec les privilèges les plus élevés du système.

Ces capacités sont d’autant plus problématiques que BTR.sys peut, comme on l’a vu, intervenir très tôt au redémarrage, après l’initialisation du système de fichiers et le chargement des premiers pilotes de sécurité, mais avant le démarrage des principaux services de Defender en espace utilisateur, dans un intervalle que Check Point qualifie de « Golden Window ».