Microsoft Defender Sürücüsü, Windows Çekirdeğinden EDR ve AV’yi Devre Dışı Bırakmak için Silahlandırılabilir

Microsoft Defender'ın meşru Önyükleme Süresi Kaldırma (BTR.sys) sürücüsü, güçlü çekirdek düzeyinde dosya ve kayıt defteri işlemleri gerçekleştirmek için yeniden kullanılabilir ve bu da potansiyel olarak yönetici ayrıcalıklarına sahip saldırganların uç nokta güvenlik korumalarını etkisiz hale getirmesini sağlar. Kontrol Noktası araştırması, geleneksel bir güvenlik açığını veya bellek yolsuzluğu kusurunu tanımlamaz; bunun yerine, belgelenmemiş işlem protokolü yeniden üretildiğinde güvenilir, Microsoft imzalı bir iyileştirme bileşeninin nasıl bir Living – off – the – Land sürücüsü haline gelebileceğini ortaya koyar. BTR.sys Sürücü Dosyası Özellikleri (Görüntü kaynağı: Checkpoint)

Microsoft Defender Sürücüsü Silahlandırılabilir

BTR.sys, Microsoft Defender'ın MpEngine.dll dosyasına gömülüdür ve Defender'ın işletim sistemi tarafından kilitlenen bir dosyayı kaldırmak gibi yeniden başlatmadan sonra bir düzeltme görevini tamamlaması gerektiğinde dağıtılır. Meşru etkinlik sırasında, sürücü rastgele oluşturulmuş bir dosya adı ve hizmet adıyla görünebilir, şifrelenmiş yapılandırması için: changelist adlı bir Alternatif Veri Akışı (Ads) kullanabilir, sıradaki işlemlerini yürütebilir ve ardından temizleyebilir. Bu davranışlar, Defender'ın normal iyileştirme mimarisinin bir parçası olmasına rağmen, bir olay müdahale soruşturması sırasında çekirdek yükleyici ticaretine benzeyebilir. MpEngine Gömülü BOOTTIMETOOL Kaynağı (Görüntü Kaynağı: Kontrol Noktası)

Check Point Research tarafından paylaşılan tersine mühendislik bulgularına göre, sürücünün tescilli işlem formatı, bütünlük kontrolleriyle korunan RC4 şifreli bir yapılandırma bloğuna dayanıyor. Yapılandırma, dosyaları ve dizinleri silmek, dosyaları taşımak, kayıt defteri anahtarlarını ve değerlerini silmek ve kayıt defteri verilerini yazmak için talimatlar içerebilir. Geçerli bir işlem, imzalı bir Microsoft sürücüsünü Ring 0 'dan ayrıcalıklı işlemler gerçekleştirmeye yönlendirebilir. Araştırma ekibi, kabul edilen işlemleri oluşturan ve sürücüyü yürütme için aşamalandıran bir kavram kanıtı aracı olan BTR_CLI'yi oluşturdu. Beslenme ve onkoloji için başarının anahtarı;
zamanlama ve bireyselleşmedir.