Foi divulgada uma técnica que utiliza o driver legitimamente assinado de remoção de boot do Microsoft Defender para realizar operações arbitrárias de arquivo e registro em nível de kernel em sistemas Windows, desde o Windows 7 até o Windows 11 25H2. Essa técnica não explora nenhuma falha de software e não requer a importação de nenhum driver de fora da máquina.
Detalhes Técnicos
O driver, denominado BTR.sys (Boot Time Removal Tool), é usado para realizar operações de remoção de malware durante o boot.
A técnica permite a realização de operações arbitrárias de arquivo e registro em nível de kernel sem a necessidade de explorar uma falha de software.
Os sistemas afetados incluem Windows 7, Windows 10, Windows 11 e outras versões até o Windows 11 25H2.
Recomendações
Verificar se o driver BTR.sys está atualizado e configurado corretamente.
Implementar medidas de segurança adicionais para monitorar operações de kernel em sistemas Windows.
Manter o Microsoft Defender e outros softwares de segurança atualizados.
Próximos Passos
Analisar logs de sistema para detectar atividades suspeitas relacionadas ao driver BTR.sys.
Realizar uma varredura de segurança nos sistemas para identificar possíveis vulnerabilidades.
