El propio controlador de Windows Defender se convierte en arma contra él mismo
Investigadores de Check Point han demostrado cómo un controlador legítimo de Microsoft, diseñado para ayudar a Windows Defender a eliminar malware, puede usarse en su lugar para desactivar el propio Defender. La técnica elude la Protección contra manipulaciones y afecta a todas las versiones de Windows, desde la 7 hasta la 11.
Cuando el perro guardián muerde su propia correa
Un investigador tomó el único componente que uno menos esperaría que lo traicione: un controlador diseñado específicamente para ayudar a Windows Defender a eliminar malware, y lo convirtió en un arma contra el propio Defender.
La técnica, denominada BTR Reforged, fue revelada por el analista de Check Point Research Irgi Binopal en Black Hat USA 2026 y DEF CON 34. No se basa en un controlador de terceros vulnerable, ni en una falla cero día en el kernel, ni en ningún defecto del código del sistema operativo. Explota un controlador legítimo, firmado por Microsoft, que ha estado presente en todas las máquinas con Windows durante años.
Esa distinción es precisamente lo que hace peligroso este trabajo — y difícil de bloquear.
Cómo funciona el truco
BTR.sys es una herramienta de eliminación en el arranque. Cuando Defender se encuentra con un archivo malicioso o con una entrada de registro corrupta que no puede borrar mientras está ejecutándose, delega esa tarea a BTR.sys. El controlador se carga durante el próximo reinicio, antes de que el sistema de archivos del sistema operativo alcance su pleno funcionamiento, y elimina de manera quirúrgica los elementos objetivo.
Binopal y su equipo analizaron cómo BTR.sys procesa sus comandos de eliminación y descubrieron que la interfaz no valida la intención, solo la sintaxis. Si se le proporcionan las instrucciones correctas, eliminará o moverá cualquier archivo o directorio, y modificará cualquier clave o valor del registro, con privilegios de Ring 0 (kernel).
La explotación depende del momento. Durante un reinicio, existe una ventana en la que el sistema de archivos ya está disponible pero los servicios centrales de Defender aún no se han iniciado. En ese intervalo, el atacante activa BTR.sys para eliminar el corazón de Defender: WdFilter.sys y MsMpEng.exe, antes de que el producto pueda reaccionar.
Check Point demostró el ataque en un sistema Windows 11 25H2 completamente parcheado con Protección contra cambios activado. La Protección contra cambios está diseñada específicamente para impedir que cualquiera, incluidos los administradores, desactive Defender o modifique su configuración. Y no funcionó.
Por qué esto es diferente de BYOVD
Los equipos de seguridad que siguen los ataques a nivel de kernel reconocerán la estructura general de este problema. La técnica Bring Your Own Vulnerable Driver (BYOVD) existe desde hace años: un atacante entrega un controlador firmado pero defectuoso de un proveedor legítimo y lo utiliza para obtener acceso al kernel, desactivando luego el agente de punto final.
BTR Reforged es un ataque BYOVD en todo menos en el nombre. La diferencia es que BTR.sys no está defectuoso, no es antiguo, no proviene de un tercero — y está ayudando activamente a Defender a cumplir su función en el preciso momento en que se usa en su contra.
No puedes añadirlo a una lista de bloqueo. No puedes marcarlo como sospechoso en una política de control de aplicaciones. Es, por todas las métricas, un buen controlador haciendo algo bueno. Y precisamente por eso es tan difícil defenderte de él.
Qué significa esto para las empresas
Microsoft respondió clasificando el problema como algo que no requiere una actualización de emergencia, citando el hecho de que el ataque necesita privilegios de administrador preexistentes y el derecho SeLoadDriverPrivilege. La postura de la compañía es consistente: se trata de una técnica habilitada por el acceso de administrador existente, no de una vía de explotación remota.
Eso es técnicamente preciso, pero estratégicamente restrictivo. El verdadero riesgo no es un gusano que se propague por sí mismo. Es un actor de amenaza que ya ha comprometido una cuenta de administrador — mediante phishing, robo de credenciales o movimiento lateral — y ahora dispone de una nueva vía, negable, para borrar las huellas de su presencia y cegar el sensor de punto final que lo vigila.
BTR Reforged convierte la herramienta de limpieza de Defender en una herramienta para limpiar a Defender. El atacante reinicia la máquina, la protección desaparece, y nada en los registros habituales necesariamente indica explotación.
La conclusión práctica para los equipos de seguridad no es el pánico, sino la disciplina.
Qué hacer ahora
La palanca más directa es el control de acceso. SeLoadDriverPrivilege no debería concederse a cuentas administrativas estándar. Es un derecho de alto valor que debe reservarse para flujos de trabajo dedicados de instalación de controladores y protegerse mediante elevación bajo demanda.
La detección debe centrarse en patrones de comportamiento anómalos en lugar de intentar bloquear BTR.sys directamente. Tres señales valen la pena observar:
En primer lugar, el registro inesperado de un servicio de controlador relacionado con BTR. El controlador es legítimo, pero su servicio solo debería aparecer bajo condiciones gestionadas por Defender.
En segundo lugar, la creación de archivos que coincidan con el patrón de nomenclatura .sys:changelist que BTR.sys utiliza para rastrear lo que pretende eliminar.
En tercer lugar, actividad de eliminación de archivos que se origine desde el proceso del sistema (PID 4) inmediatamente después de la carga de un controlador. Esa combinación — una carga de controlador seguida de una eliminación de archivos a nivel de kernel desde el proceso init — no es un comportamiento normal de Defender y debería generar una alerta.
Finalmente, las organizaciones deben auditar qué cuentas poseen SeLoadDriverPrivilege y retirarlo siempre que sea posible. El privilegio es poderoso, y en manos equivocadas se convierte en una puerta trasera que ni siquiera necesita parecerlo.
La lección más amplia
La parte más interesante de BTR Reforged no es la explotación en sí. Es el patrón que revela.
A medida que la protección de puntos finales se vuelve más sofisticada, incorpora más operaciones privilegiadas en su propia infraestructura. Necesita controladores de kernel. Necesita acceso en el arranque. Necesita la capacidad de tocar archivos antes de que el sistema operativo se haya iniciado por completo. Cada nueva capacidad es una nueva superficie — y cada capacidad que el defensor requiere es una capacidad que un atacante podría potencialmente redirigir.
La defensa no se está debilitando. Simplemente se está volviendo más compleja, y la complejidad es donde habita la evasión.
Check Point no ha encontrado evidencia de que BTR Reforged se esté utilizando en la naturaleza. Eso podría cambiar. El prototipo de concepto es público, los requisitos previos son realistas para cualquier adversario con acceso de administrador, y la técnica no deja un controlador vulnerable del que se pueda rastrear hasta un proveedor.
Lo que hace que este momento valga la pena es que Windows no esté roto. Es que las herramientas diseñadas para mantenerlo seguro ahora son parte del kit de herramientas de ataque — y siempre serán más difíciles de detectar que cualquier cosa que un atacante traiga desde el exterior.