Check Point Research揭露一種技術，利用微軟Defender自身合法簽署的開機修復驅動程式，在Windows 7至Windows 11 25H2等系統上執行任意核心層級的檔案與登錄操作，且無需利用軟體漏洞或從外部匯入驅動程式。

該驅動程式BTR.sys（Boot Time Removal Tool）是Windows的必要組件，無法被加入微軟的易受攻擊驅動程式封鎖清單，也無法透過Windows Defender應用程式控制（WDAC）封鎖，否則會影響Defender本身的運作。

Check Point Research的威脅研究員兼逆向工程師Jiří Vinopal於2026年8月20日在Black Hat USA 2026及DEF CON 34發表此研究成果，並發布了相關研究論文及概念驗證工具BTR_CLI。該研究指出，目前尚無證據顯示此技術已被用於真實攻擊。

BTR.sys嵌入於Defender的MpEngine.dll中，作為BOOTTIMETOOL資源，當Defender需在重啟後完成惡意軟體移除時會被部署，用以刪除Windows運行時被鎖定的檔案或登錄項目。

Vinopal逆向解析該驅動專有且未公開的交易協議，發現所有傳送給BTR.sys的配置資料皆以RC4加密，使用一個256字節的金鑰，該金鑰硬編碼於每個BTR.sys版本的.rdata區段，自Windows 7起18個不同64位元版本均未更動。

概念驗證工具BTR_CLI會定位Defender定義更新中的MpEngine.dll，並提取內嵌的BTR.sys二進位檔。

該工具構造有效的加密交易，並透過直接寫入HKLM登錄表的方式安裝驅動為服務，使用Type=1、Start=1及Group="Boot Bus Extender"，此方法繞過服務控制管理器，且不會產生Windows事件ID 7045（服務安裝）紀錄。

驅動載入後，BTR.sys會在Ring 0執行排隊操作，並在遙測中被歸屬為系統程序（PID 4），能刪除被鎖定的檔案與目錄、將檔案移動至不受限制的路徑（包括System32\drivers）、刪除登錄鍵和值，並寫入任意類型的新登錄值。

第二種觸發模式則將操作排程於下一次重啟時執行。

驅動會在Vinopal稱為「黃金時刻」的階段執行，即檔案系統可寫入但Defender用戶模式服務尚未啟動之間，允許BTR.sys在安全元件如WdFilter.sys及MsMpEng.exe自我鎖定前將其物理刪除。

Black Hat現場示範中，BTR_CLI成功從一台啟用防篡改保護且完全更新的Windows 11 25H2機器中刪除整個Defender堆疊。

利用此技術需具備擁有SeLoadDriverPrivilege的管理員帳號，BTR_CLI會自動為已具該權限的帳號啟用此特權。

與依賴第三方已知易受攻擊驅動並可加入封鎖清單的「自帶易受攻擊驅動」攻擊不同，BTR Reforged技術使用的是自Windows 7起內建於每個Windows安裝中的驅動程式。

Check Point Research指出，這不是傳統意義上的漏洞，而是架構上的信任邊界問題，若攻擊者已取得管理員權限便可跨越。微軟安全回應中心（MSRC）確認此技術不符合立即修補標準，因為其依賴既有的管理員權限（SeLoadDriverPrivilege）。

Vinopal在GitHub的BTR_CLI倉庫中表示「無修補計畫」，微軟尚未公開確認此說法。

五年前，安全研究人員曾針對同一驅動發現另一漏洞。2021年2月，SentinelLabs研究員Kasif Dekel揭露CVE-2021-24092，該漏洞允許本地非管理員透過在驅動日誌路徑建立硬連結來覆寫任意檔案，微軟於2021年2月9日修補此漏洞。

Kasif Dekel表示，該漏洞長期未被發現，可能因驅動通常不會常駐硬碟，而是在需要時以隨機名稱被丟棄並啟用，之後再被清除。

先前FIN7組織的AvNeutralizer也曾示範利用Windows內建驅動ProcLaunchMon.sys與Process Explorer驅動來干擾端點安全軟體，顯示內建驅動可作為核心攻擊原語。

Check Point Research表示，此研究起因於一起事件回應調查，當時某系統的端點遙測資料看似異常，後來發現是Windows Defender合法的修復活動所致。

研究團隊建議，可透過監控Sysmon與Windows事件來偵測BTR.sys可能的濫用行為，並限制SeLoadDriverPrivilege的分配作為主要防護措施。

BTR_CLI工具以MIT授權釋出，包含預編譯的x64與x86版本，存放於GitHub倉庫github.com/Dump-GUY/BTR_CLI。

The Hacker News曾聯繫微軟及Check Point Research索取對此技術的評論與技術細節，但截至發稿時尚未收到回應。