Sicherheitsforscher von Check Point Research haben gezeigt, dass ein von Microsoft signierter Treiber des Windows Defender gegen das eigene System gewendet werden kann. Der Treiber BTR.sys steckt auf jedem Windows-System und dient eigentlich dazu, hartnäckige Schadsoftware zu beseitigen. In der Hand eines Angreifers wird er zum Werkzeug, um Schutzsoftware direkt aus dem Windows-Kernel heraus abzuschalten.

Was ist passiert?

Bei der Untersuchung eines infizierten Systems stießen die Forscher von Check Point auf den Treiber Windows Defender Boot-Time Removal, kurz BTR.sys. Diese Komponente ist im Scan-Modul des Defender (MpEngine.dll) eingebettet und wird normalerweise dann aktiv, wenn der Defender nach einem Neustart Dateien oder Registry-Einträge entfernen muss, die im laufenden Betrieb gesperrt waren. Der Treiber entschlüsselt dazu eine mit RC4 verschlüsselte Liste von Aktionen und führt sie mit weitreichenden Rechten auf Kernel-Ebene (Ring 0) aus.

Genau dieser Mechanismus lässt sich umleiten. Ein Angreifer kann eine eigene, gültig verschlüsselte Konfiguration erstellen und den Treiber frühzeitig über einen temporären Dienst laden. Damit erhält er ein vertrauenswürdiges Werkzeug im Kernel, mit dem er den Manipulationsschutz umgeht, Antiviren- und EDR-Komponenten noch vor deren Start löscht, eigene Schadtreiber einschleust und sich dauerhaft im System festsetzt. Das Besondere daran ist, dass keine Sicherheitslücke ausgenutzt werden muss und auch kein mitgebrachter verwundbarer Treiber nötig ist, wie es bei der bekannten BYOVD-Methode der Fall wäre.

Check Point Research hat die Ergebnisse am 20. August 2026 im Rahmen von Black Hat USA und DEF CON vorgestellt und dazu ein Analysepapier sowie ein Proof-of-Concept-Werkzeug namens BTR_CLI veröffentlicht.

Wer ist betroffen?

Da der Treiber Bestandteil des Defender ist, sind zahlreiche Windows-Versionen von Windows 7 bis hin zu Windows 11 in der Version 25H2 grundsätzlich betroffen. Das schließt sowohl Arbeitsplatzrechner als auch Windows-Server ein.

Wichtig für die Einordnung ist die Voraussetzung für den Angriff. Der Täter benötigt bereits weitreichende Administratorrechte auf dem Zielsystem, konkret das Privileg SeLoadDriverPrivilege. Die Methode eignet sich damit nicht für den ersten Einbruch in ein Netzwerk. Gefährlich wird sie erst, wenn ein System bereits kompromittiert ist und der Angreifer seine Spuren vor der IT-Abteilung verwischen und sich dauerhaft einnisten will.

Kein Patch geplant

Microsoft plant nach aktuellem Stand keinen Patch. Das Microsoft Security Response Center stuft das Verhalten als architektonische Systemgrenze ein und argumentiert, dass ein Angreifer mit Administratorrechten ohnehin weitreichende Kontrolle über das System besitzt. Es handele sich nicht um einen Programmfehler, sondern um eine bewusste Funktionsweise des Treibers.

In der Sicherheitsbranche wird diese Haltung differenziert gesehen. Der Missbrauch legitimer, signierter Treiber gilt als gängige Methode, um Schutzmechanismen unbemerkt auszuhebeln, weshalb Fachleute die Erkennung solcher Aktivitäten für wichtig halten. Beruhigend ist immerhin, dass Check Point Research keine Hinweise auf eine Ausnutzung dieser Technik in echten Angriffen gefunden hat. Verteidiger haben damit die seltene Gelegenheit, Erkennungsregeln zu entwickeln, bevor die Methode in der Praxis auftaucht.