ไดรเวอร์ของ Microsoft Defender เองสามารถถูกนำไปใช้ลบซอฟต์แวร์ด้านความปลอดภัยในขั้นตอนการบูตได้

Check Point Research ได้เปิดเผยเทคนิคที่ใช้ไดรเวอร์สำหรับการแก้ไขปัญหาในขั้นตอนการบูตของ Microsoft Defender เอง ซึ่งเป็นไดรเวอร์ที่ผ่านการ Sign อย่างถูกต้อง มาใช้ดำเนินการกับไฟล์ และ Registry ในระดับ Kernel ได้ตามที่ต้องการ บนระบบ Windows ตั้งแต่ Windows 7 ไปจนถึง Windows 11 25H2 โดยไม่มีการใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์ (exploit) และไม่มีการนำไดรเวอร์จากภายนอกเข้ามาในเครื่องแต่อย่างใด

ไดรเวอร์ดังกล่าวคือ BTR.sys (Boot Time Removal Tool) ซึ่งเป็นคอมโพเนนต์ที่จำเป็นของ Windows นั่นหมายความว่าไม่สามารถเพิ่มไดรเวอร์ตัวนี้เข้าไปใน Vulnerable Driver Blocklist ของ Microsoft หรือบล็อกผ่าน Windows Defender Application Control (WDAC) ได้ โดยไม่กระทบต่อการทำงานของ Defender เอง

Jiří Vinopal นักวิจัยด้านภัยคุกคาม และผู้เชี่ยวชาญด้าน Reverse Engineering จาก Check Point Research ได้นำเสนอผลการค้นพบนี้บนเวทีหลักในงาน Black Hat USA 2026 และ DEF CON 34 ที่ลาสเวกัส พร้อมทั้งเผยแพร่รายงานวิจัยควบคู่ไปกับเครื่องมือ Proof-of-Concept (PoC) ที่ชื่อว่า BTR_CLI เมื่อวันที่ 20 สิงหาคม 2026 โดย Check Point Research ระบุว่า ยังไม่พบหลักฐานว่าเทคนิคนี้ถูกนำไปใช้ในการโจมตีจริง

Check Point Research ระบุว่า "ตลอดการวิเคราะห์ตัวอย่างที่รวบรวมมาทั้งหมด รวมถึงแหล่งข้อมูล Telemetry ต่าง ๆ ยังไม่พบหลักฐานการนำ BTR.sys ไปใช้งานจริงในลักษณะที่สาธิตไว้ในงานวิจัยนี้ ซึ่งแสดงให้เห็นว่า ปัจจุบันกลุ่มผู้โจมตียังไม่รู้จัก หรือยังไม่ได้นำเทคนิคนี้ไปใช้ ทำให้ยังสามารถพัฒนาแนวทางการตรวจจับเชิงรุกได้ทัน ก่อนที่เทคนิคนี้จะถูกนำไปใช้โจมตีจริง"

BTR.sys ถูกฝังอยู่ในไฟล์ MpEngine.dll ของ Defender ในรูปแบบ Resource ที่ชื่อว่า BOOTTIMETOOL และจะถูกนำมาใช้งานเมื่อ Defender จำเป็นต้องลบมัลแวร์ให้เสร็จสิ้นหลังจากการรีบูตเครื่อง ด้วยการลบไฟล์ หรือรายการใน Registry ที่ถูกล็อกอยู่ในขณะที่ Windows กำลังทำงาน

Vinopal ได้ทำ Reverse Engineering กับโปรโตคอลการทำ Transaction ของไดรเวอร์ตัวนี้ ซึ่งเป็นโปรโตคอลเฉพาะที่ไม่มีการเปิดเผยเอกสารไว้ และพบว่า Configuration Blob ทุกชุดที่ถูกส่งไปยัง BTR.sys จะถูกเข้ารหัสด้วย RC4 โดยใช้คีย์ขนาด 256 ไบต์ที่ถูก Hard-code ไว้ในส่วน .rdata ของ BTR.sys ทุกเวอร์ชันที่ถูกปล่อยออกมาตั้งแต่ Windows 7 เป็นต้นมา ซึ่งได้รับการตรวจสอบยืนยันแล้วว่าไม่มีการเปลี่ยนแปลง ตลอด 18 เวอร์ชันแบบ 64-bit ที่แตกต่างกัน

BTR_CLI ซึ่งเป็นเครื่องมือ Proof-of-Concept จะค้นหาไฟล์ MpEngine.dll ที่อยู่ภายใต้ไดเรกทอรี Definition Updates ของ Defender แล้วดึงไฟล์ Binary ของ BTR.sys ที่ฝังอยู่ภายในออกมา

จากนั้นเครื่องมือดังกล่าวจะสร้าง Transaction ที่ถูกเข้ารหัสอย่างถูกต้องขึ้นมา แล้วติดตั้งไดรเวอร์ในรูปแบบของ Service ด้วยการเขียนข้อมูลลงบน Registry ที่ HKLM โดยตรง โดยใช้ค่า Type=1, Start=1 และ Group="Boot Bus Extender" ซึ่งเป็นวิธีการที่ Bypass Service Control Manager ไปทั้งหมด และไม่ทำให้เกิด Windows Event ID 7045 (Service Installed) ขึ้นแต่อย่างใด

เมื่อไดรเวอร์ถูกโหลดขึ้นมา BTR.sys จะเรียกใช้งานคำสั่งที่รออยู่ในคิวจาก Ring 0 ซึ่งใน Telemetry จะถูกระบุว่าเป็นการทำงานของ System Process (PID 4) โดยสามารถดำเนินการได้ดังต่อไปนี้

• ลบไฟล์ และไดเรกทอรีที่ถูกล็อกอยู่
• ย้ายไฟล์ไปยังพาทใดก็ได้โดยไม่มีข้อจำกัด รวมถึง System32\drivers
• ลบ Registry Key และ Value
• เขียน Registry Value ใหม่ได้ทุกประเภท

นอกจากนี้ยังมีโหมดการเรียกใช้งานแบบที่สอง ซึ่งจะตั้งเวลาให้คำสั่งเหล่านั้นทำงานในการรีบูตครั้งถัดไป

จากนั้นไดรเวอร์จะทำงานในช่วงเวลาที่ Vinopal เรียกว่า "Golden Window" ซึ่งเป็นช่วงเวลาหลังจากที่ระบบไฟล์สามารถเขียนข้อมูลได้แล้ว แต่ยังอยู่ก่อนที่บริการในระดับ User-mode ของ Defender จะเริ่มทำงาน ทำให้ BTR.sys สามารถลบไฟล์ Binary ของซอฟต์แวร์ด้านความปลอดภัยอย่าง WdFilter.sys และ MsMpEng.exe ออกไปได้จริง ก่อนที่ไฟล์เหล่านั้นจะล็อกตัวเองไว้ได้

การสาธิตสดในงาน Black Hat แสดงให้เห็นว่า BTR_CLI สามารถลบชุดการทำงานทั้งหมดของ Defender ออกจากเครื่อง Windows 11 25H2 ที่อัปเดตครบถ้วนแล้ว และเปิดใช้งาน Tamper Protection อยู่ได้

การโจมตีนี้จำเป็นต้องใช้บัญชีผู้ดูแลระบบที่มีสิทธิ์ SeLoadDriverPrivilege ซึ่ง BTR_CLI จะเปิดใช้งานสิทธิ์ดังกล่าวให้โดยอัตโนมัติ สำหรับบัญชีที่ถือครองสิทธิ์นี้อยู่แล้ว ต่างจากการโจมตีที่อาศัยเทคนิค Bring Your Own Vulnerable Driver ซึ่งต้องพึ่งพาไดรเวอร์ของ Third Party ที่ผ่านการ Sign และเป็นที่ทราบกันว่ามีช่องโหว่ จึงสามารถนำไปเพิ่มใน Blocklist ได้ แต่เทคนิค BTR Reforged นี้กลับใช้ไดรเวอร์ที่ติดตั้งมาพร้อมกับ Windows ทุกเครื่องตั้งแต่ Windows 7 เป็นต้นมา

Check Point Research ระบุไว้ในรายงานว่า "ปัญหานี้ไม่ใช่ช่องโหว่ในความหมายแบบดั้งเดิม แต่เป็นขอบเขตความน่าเชื่อถือเชิงสถาปัตยกรรม (Architectural Trust Boundary) ที่สามารถถูก Bypass ได้ หากผู้โจมตีมีสิทธิ์ระดับผู้ดูแลระบบอยู่แล้ว ทั้งนี้ภายหลังการแจ้งเตือนตามกระบวนการ Responsible Disclosure ทาง MSRC ได้ยืนยันว่า ผลการค้นพบเหล่านี้ไม่เข้าเกณฑ์ที่ต้องออกแพตช์แก้ไขโดยทันที เนื่องจากเทคนิคดังกล่าวต้องอาศัยสิทธิ์ระดับผู้ดูแลระบบที่มีอยู่ก่อนแล้ว (SeLoadDriverPrivilege)"

ขณะที่ GitHub Repository ของ BTR_CLI ซึ่งจัดทำโดย Vinopal ได้ระบุเพิ่มเติมว่า "ไม่มีแผนการออกแพตช์แก้ไข" ซึ่งเป็นคำอธิบายที่ทาง Microsoft ยังไม่ได้ออกมายืนยันต่อสาธารณะ

ทั้งนี้ BTR.sys เคยถูกนักวิจัยด้านความปลอดภัยตรวจสอบมาแล้วเมื่อห้าปีก่อน จากช่องโหว่คนละตัวในไดรเวอร์เดียวกันนี้

โดยในเดือนกุมภาพันธ์ 2021 Kasif Dekel นักวิจัยจาก SentinelLabs ได้เปิดเผยช่องโหว่ CVE-2021-24092 ซึ่งเป็นช่องโหว่ประเภทการยกระดับสิทธิ์ (Privilege Escalation) ที่ทำให้ผู้ใช้งานภายในเครื่องที่ไม่มีสิทธิ์ระดับผู้ดูแลระบบ สามารถเขียนทับไฟล์ใดก็ได้ตามที่ต้องการ ด้วยการวาง Hard Link ไว้ที่พาทของไฟล์ Log ของไดรเวอร์ ซึ่ง Microsoft ได้ออกแพตช์แก้ไข CVE-2021-24092 ไปเมื่อวันที่ 9 กุมภาพันธ์ 2021

Kasif Dekel ระบุไว้ในรายงานการเปิดเผยช่องโหว่ของ SentinelLabs ว่า "เราคาดว่า ช่องโหว่นี้ยังไม่ถูกค้นพบมาจนถึงตอนนี้ เนื่องจากโดยปกติแล้วไดรเวอร์ตัวนี้จะไม่ได้อยู่บนฮาร์ดดิสก์ แต่จะถูกวางลงมา และเปิดใช้งานเมื่อจำเป็นเท่านั้น โดยใช้ชื่อแบบสุ่ม จากนั้นก็จะถูกลบทิ้งไป"

การนำไดรเวอร์ที่ติดตั้งมาพร้อมกับ Windows มาใช้เป็นเครื่องมือโจมตีในระดับ Kernel แทนที่จะใช้ไดรเวอร์ของ Third Party ที่มีช่องโหว่นั้น เคยมีการสาธิตมาก่อนแล้วในกรณีของ AvNeutralizer ของกลุ่ม FIN7 ซึ่งนำไดรเวอร์ ProcLaunchMon.sys ของ Windows มาใช้ร่วมกับไดรเวอร์ของ Process Explorer เพื่อแทรกแซงการทำงานของซอฟต์แวร์ด้านความปลอดภัยบน Endpoint

Check Point Research ระบุว่า การสืบสวนที่นำมาสู่ผลการค้นพบเหล่านี้มีจุดเริ่มต้นที่ไม่ธรรมดา

โดย Check Point Research ระบุไว้ในรายงานว่า "งานวิจัยนี้เริ่มต้นขึ้นระหว่างการสืบสวนในกระบวนการ Incident Response ของระบบที่ถูกโจมตี ซึ่งข้อมูล Telemetry บางส่วนจาก Endpoint ดูมีความน่าสงสัย แต่สุดท้ายกลับสืบย้อนกลับไปพบว่า เป็นกิจกรรมการแก้ไขปัญหาตามปกติของ Windows Defender เอง"

Check Point Research ได้ระบุเงื่อนไขของ Sysmon และ Windows Event ที่เป็นตัวบ่งชี้ถึงความเป็นไปได้ที่จะมีการนำ BTR.sys ไปใช้ในทางที่ไม่เหมาะสม ดังต่อไปนี้

• Sysmon Event ID 15 (FileCreateStreamHash) ที่ชื่อไฟล์เป้าหมายลงท้ายด้วย .sys:changelist ซึ่งเป็นการจับ Alternate Data Stream ของ Configuration ที่ถูกเข้ารหัส และถูกเขียนลงในไฟล์ไดรเวอร์
• RegistryEvent (Sysmon Event ID 12 หรือ 13) ที่มีการสร้าง Service Key ซึ่งค่า Args มี :changelist อยู่ และค่า Group เป็น "Boot Bus Extender" โดยเฉพาะเมื่อไม่มี Windows Event ID 7045 (Service Installed) เกิดขึ้นควบคู่กัน
• Sysmon Event ID 11 (FileCreate) และ 23 (FileDelete) ที่บันทึกการสร้าง และลบไฟล์ \SystemRoot\Temp\BootClean[.]log อย่างรวดเร็วโดย System Process (PID 4) ซึ่งเป็นพาทของไฟล์ Log ที่ถูก Hard-code ไว้ในไดรเวอร์ และจะทำงานเสมอไม่ว่าจะถูกเรียกใช้งานจากที่ใดก็ตาม
• Sysmon Event ID 6 (DriverLoad) ที่ตามมาด้วย Sysmon Event ID 23 (FileDelete) ในทันที โดยถูกระบุว่าเป็นการทำงานของ System Process (PID 4) ซึ่งเป็นร่องรอยการทำงานในระดับ Kernel-mode ของการเรียกใช้ BTR.sys จริง

นอกจากนี้ Check Point Research ยังแนะนำให้จำกัดการมอบสิทธิ์ SeLoadDriverPrivilege เป็นมาตรการหลักในการเสริมความแข็งแกร่งให้กับระบบ

BTR_CLI เปิดให้ดาวน์โหลดได้ที่ github[.]com/Dump-GUY/BTR_CLI ภายใต้ MIT License พร้อมไฟล์ Binary แบบ x64 และ x86 ที่คอมไพล์ไว้แล้ว แนบมาในส่วน Releases ของ Repository

ที่มา : Thehackernews