Джойстик DEFENDER BLAST обзор и подключение к Android и ПК
Собственный драйвер Microsoft Defender может быть использован для удаления программного обеспечения безопасности при загрузке системы
Драйвер BTR.sys (Boot Time Removal Tool) является обязательным компонентом Windows, что означает, что его нельзя добавить в список уязвимых драйверов Microsoft или заблокировать через Windows Defender Application Control (WDAC) без нарушения работы самого Defender. BTR.sys внедряется в MpEngine.dll Defender в качестве ресурса BOOTTIMETOOL и развертывается, когда Defender должен завершить удаление вредоносного ПО после перезагрузки, удаляя файлы или записи реестра, которые были заблокированы во время работы Windows...
BTR.sys: легитимный драйвер Defender как примитив атаки в ядре
В отчёте проанализирован драйвер Windows Defender Boot-Time Removal, BTR.sys. Это подписанный Microsoft драйвер ядра, который используется в ходе легитимных операций по устранению угроз. Исследователи изучили его зашифрованный формат транзакций, конвейер выполнения, механизмы проверки целостности и конфигурацию. Драйвер расшифровывает данные транзакций с помощью жёстко закодированного 256-байтного ключа RC4. Один и тот же ключ используется в 18 идентифицированных 64-битных версиях драйвера, выпущенных в период от Windows 7 до Windows 11. Конфигурация передаётся через альтернативный поток данных ADS, предположительно с именем :changelist, привязанный к файлу драйвера...