Windows Defender 的驱动被反手 weaponized

当看门狗咬断自己的牵引绳

一位研究人员取下了你最不希望它背叛你的那个组件——一个专为帮助 Windows Defender 清除恶意软件而打造的驱动程序——并将其转化为攻击 Defender 本身的武器。

这项名为"BTR Reforged"的技术由 Check Point Research 分析师 Irgi Binopal 在 Black Hat USA 2026 和 DEF CON 34 上披露。它不依赖第三方漏洞驱动程序，不利用内核零日漏洞，也不利用操作系统代码中的任何缺陷。它利用的是一个合法的、微软签名的驱动程序，该驱动程序多年来一直在每一台 Windows 机器上运行。

正是这一区别使得这项工作极其危险——也难以被阻止。

这项把戏的工作原理

BTR.sys 是一个启动时清理工具。当 Defender 遇到在运行时无法删除的恶意文件或异常注册表项时，会将这个任务转交给 BTR.sys。该驱动程序在下次重启时加载，早于操作系统文件系统完全启动之前，然后精确移除目标项目。

Binopal 及其团队分析了 BTR.sys 如何处理其删除命令，发现该接口不验证意图——只验证语法。只要提供正确的指令，它就会以 Ring 0（内核）权限删除或移动任何文件或目录，并修改任何注册表项或值。

该漏洞利用的关键在于时机。在重启过程中，存在一个时间窗口：文件系统已经可用，但 Defender 的核心服务尚未启动。在这个间隙中，攻击者触发 BTR.sys 删除 Defender 自身最核心的组件——WdFilter.sys 和 MsMpEng.exe——在产品做出反应之前就已经完成。

Check Point 在一个已完全打补丁的 Windows 11 25H2 系统上演示了该攻击，并且"篡改保护"功能已启用。篡改保护正是为了阻止任何人——包括管理员——禁用 Defender 或更改其配置而设计的。但它失败了。

这为何不同于 BYOVD

追踪内核级别攻击的安全团队会认识到这个问题的大致轮廓。“自带漏洞驱动程序”（BYOVD）技术已存在多年：攻击者携带一个来自合法供应商的已签名但存在缺陷的驱动程序，利用它获取内核访问权限，然后禁用终端代理。

BTR Reforged 本质上是一种 BYOVD 攻击，只是换了个名字。不同的是，BTR.sys 并非有缺陷，并非过时，也并非来自第三方——而且它正在帮助 Defender 执行其任务的同时，也被用来对付 Defender。

你无法将其加入黑名单。你无法在应用控制策略中将其标记为可疑。从任何指标来看，这都是一个好驱动程序在做一件好事。而这正是它难以防御的原因所在。

这对企业意味着什么

微软回应称，该问题无需紧急更新，理由是攻击需要预先存在的管理员权限和 SeLoadDriverPrivilege 权限。公司的立场保持一致：这是利用现有管理员访问权限实现的技术，而非远程利用路径。

技术上准确，但在战略上过于狭隘。真正的风险不是一种能够自我传播的蠕虫。而是一个已经通过钓鱼、凭证窃取或横向移动攻陷了管理员账户的攻击者——现在拥有了一个全新的、可否认的方式，来擦除其存在痕迹并致盲监视它的终端传感器。

BTR Reforged 将 Defender 的清理工具变成了"清理 Defender"的工具。攻击者重启机器，防护随即消失，而正常日志中未必有任何明显提示表明遭受了利用。

对安全团队来说，实际的要点不是恐慌——而是纪律。

现在该做什么

最直接的控制杠杆是访问控制。SeLoadDriverPrivilege 权限不应授予标准管理员账户。这是一个高价值权限，应仅限于专用的驱动程序安装工作流，并通过按需提升进行保护。

检测应侧重于异常行为模式，而非尝试直接阻止 BTR.sys 本身。有三个信号值得密切关注：

首先，意外注册与 BTR 相关的驱动程序服务。该驱动程序本身是合法的，但其服务仅在 Defender 管理条件下才应出现。

其次，创建与 BTR.sys 用于跟踪其意图删除目标的 .sys:changelist 命名模式相匹配的文件。

第三，在驱动程序加载后，立即从系统进程（PID 4）发起的文件删除活动。这种组合——驱动程序加载后跟随来自初始化进程的内核级文件删除——不属于正常的 Defender 行为，应触发告警。

最后，组织应审查哪些账户持有 SeLoadDriverPrivilege，并尽可能剥夺它。这一权限威力巨大，落入错误之手便是一道后门——甚至无需看起来像后门。

更广泛的启示

BTR Reforged 最引人关注的部分并非漏洞利用技术本身。而是它所揭示的模式。

随着终端保护日益复杂，它将更多特权操作纳入自身的体系。它需要内核驱动程序。它需要启动时访问权限。它需要在操作系统完全启动之前就接触文件的能力。每一项新能力都是一片新的攻击面——而防御者所需的每一项能力，都是攻击者潜在可以重新利用的能力。

防御并非变弱。它只是变得更加复杂，而复杂性正是逃避检测藏身之处。

Check Point 未发现任何 BTR Reforged 在野外被使用的证据。但这可能改变。概念验证已经公开，前提条件对于任何拥有管理员权限的攻击者来说都现实可行，且该技术不会留下可追溯至供应商的漏洞驱动程序。

值得关注的并不是 Windows 出了故障。而是用于保护它的工具本身就已成为攻击工具包的一部分——而且它们将永远比攻击者从外部带来的任何东西更难被检测到。