Kleine Hiobsbotschaft zum Wochenende für die Windows-Fraktion. Der eigene Treiber des Microsoft Defender, der auf jedem Windows-System mitgeliefert wird, kann missbraucht werden, um EDR- und Antiviren-Lösungen vom Windows-Kernel aus zu deaktivieren. Da lungert “der Wolf im Schafspelz” auf dem System.
Ein kurzer Tweet zeigt das Desaster
Mir ist die Woche der nachfolgende Tweet von Florian Roth zum Thema untergekommen. Die Botschaft lautet, dass ein vom Microsoft Defender verwendeter Treiber missbraucht werden kann, um EDR- oder Antivirus-Lösungen vom Windows-Kernel heraus zu deaktivieren.
Check Point Research ist darauf gestoßen, dass es in Windows einen Treiber gibt, der vom Defender benutzt wird. Der signierte Windows Defender Boot-Time Removal-Treiber (BTR.sys) von Microsoft ist eine einmalig ausführbare Kernel-Komponente, die eine RC4-verschlüsselte Transaktionsliste aus einem Alternate Data Stream entschlüsselt und Ring-0-Operationen ausführt.
Ein Angreifer mit “SeLoadDriverPrivilege” kann eine gültige verschlüsselte Konfiguration erstellen und diese frühzeitig über einen temporären “Boot Bus Extender”-Dienst laden, um sie als vertrauenswürdige Kernel-Primitive zu missbrauchen. Auf diese Weise kann er den Manipulationsschutz umgehen, EDR-/AV-Komponenten vor deren Start löschen, bösartige Treiber einschleusen und Persistenz erlangen. Das Ganze ist ohne Ausnutzung einer Sicherheitslücke oder BYOVD möglich. Check Point Research hat das Ganze zum 20. August 2026 im Blog-Beitrag BTR Reforged: Weaponizing Defender’s Remediation Driver as a Kernel Operation Primitive dokumentiert.
Florian Roth schreibt, dass sich das Problem auch nicht auf die übliche Weise lösen lässt, indem der Treiber zur Blockliste für anfällige Treiber hinzugefügt wird. Es handelt sich schließlich um Microsofts eigene Defender-Komponente!
Laut MSRC ist kein sofortiger Patch erforderlich, da man ohnehin Administratorrechte benötigt. Und es gibt noch eine gute Botschaft: Bislang wurden keine Missbrauchsfälle in freier Wildbahn beobachtet. Wir müssen nur fest die Daumen drücken, dann wird das schon.
Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht. Wegen Missbrauchs bin ich gezwungen, Name und E-Mail als Pflichtfelder beim Kommentieren zu aktivieren. Wählt ggf. einen (noch nicht benutzten) Alias-Namen und verwendet ggf. eine Dummy-Mail-Adresse (z.B. t@hotkev.com).
Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.
PakarPBN
A Private Blog Network (PBN) is a collection of websites that are controlled by a single individual or organization and used primarily to build backlinks to a “money site” in order to influence its ranking in search engines such as Google. The core idea behind a PBN is based on the importance of backlinks in Google’s ranking algorithm. Since Google views backlinks as signals of authority and trust, some website owners attempt to artificially create these signals through a controlled network of sites.
In a typical PBN setup, the owner acquires expired or aged domains that already have existing authority, backlinks, and history. These domains are rebuilt with new content and hosted separately, often using different IP addresses, hosting providers, themes, and ownership details to make them appear unrelated. Within the content published on these sites, links are strategically placed that point to the main website the owner wants to rank higher. By doing this, the owner attempts to pass link equity (also known as “link juice”) from the PBN sites to the target website.
The purpose of a PBN is to give the impression that the target website is naturally earning links from multiple independent sources. If done effectively, this can temporarily improve keyword rankings, increase organic visibility, and drive more traffic from search results.