Microsoft Defenderの修復ドライバーを悪用し起動時にセキュリティソフトを削除する手法が判明

要点

• Check Point Researchは、Microsoft Defenderに内包されている正規ドライバー「BTR.sys」を悪用し、カーネル権限で任意のファイルやレジストリ操作を行う手法を発表した。

• 外部から脆弱なドライバーを持ち込む必要がなく、Windows 7からWindows 11 25H2までの標準環境に存在するコンポーネントのみで動作する。

• 再起動直後の保護機能が立ち上がる前の隙間時間を突くことで、改ざん防止機能が有効な環境でもDefender自身をシステムから完全に削除できる。

• 実行にはドライバー読み込み権限を持つ管理者権限が必要であり、Microsoftは緊急のセキュリティ修正基準には該当しないと回答している。

• 調査チームの分析によると、現時点で実環境における悪用事例は確認されていない。

• セキュリティ企業Check Point ResearchのリサーチャーであるJiří Vinopal氏は2026年8月20日、Windows標準のセキュリティ機能であるMicrosoft Defenderに組み込まれている正規ドライバーを悪用し、カーネル権限でファイルやレジストリを任意に操作する攻撃手法を発表した。ラスベガスで開催されたセキュリティカンファレンス「Black Hat USA 2026」および「DEF CON 34」で詳細が明かされたもので、検証用の概念実証ツール「BTR_CLI」も同時に公開された。同社によると、現時点でサイバー攻撃者による実環境での悪用は確認されていないという。

Windows標準の正規ドライバー「BTR.sys」を悪用する手口

悪用の対象となったのは、Microsoft Defenderのエンジンモジュールである「MpEngine.dll」内部に組み込まれている修復用ドライバー「BTR.sys（Boot Time Removal Tool）」である。BTR.sysは、Windowsの稼働中にロックされて削除できないマルウェアのファイルやレジストリを、システムの再起動時に削除して駆除を完了させる役割を持つ。

従来、攻撃者がカーネル層（OSの中核部分）で不正な操作を行う際には、既知の脆弱性を持つ正規ドライバーを外部から持ち込む「BYOVD（Bring Your Own Vulnerable Driver）」という手法が用いられてきた。しかし、外部ドライバーはMicrosoftのブロックリストや、アプリケーション制御機能であるWDAC（Windows Defender Application Control）によって遮断されることが多い。

これに対し、BTR.sysはWindows 7からWindows 11 25H2に至るまで標準で備わっているコンポーネントだ。Defender自身の動作に不可欠であるため、ブロックリストへの登録やWDACによる遮断を行うと、Defender自体の機能が損なわれてしまうという構造的な特徴を持つ。

暗号化通信の解析とイベントログの回避

Vinopal氏がBTR.sysの独自通信プロトコルをリバースエンジニアリングしたところ、ドライバーに渡される設定データはRC4方式で暗号化されているものの、復号に必要な256バイトの暗号鍵がドライバー本体内に直接書き込まれている（ハードコードされている）ことが判明した。この鍵は、Windows 7以降に出荷された18種類の64ビット版BTR.sysすべてで共通だったという。

公開されたツール「BTR_CLI」は、定義更新フォルダ内のMpEngine.dllからBTR.sysを抽出し、正規の暗号化トランザクションを生成する。

さらに、ドライバーをサービスとして登録する際にも検知を避ける手法が取られている。Windowsのサービス管理機能（Service Control Manager）を経由せず、レジストリへ直接書き込んで登録（Type=1、Start=1、Group="Boot Bus Extender"）することで、新規サービス登録のログ（イベントID 7045）を残さずにドライバーを読み込ませる。読み込まれたBTR.sysはカーネル層（Ring 0）で動作し、システムログ上は「System」プロセス（PID 4）による正規動作として扱われる。

「ゴールデンウィンドウ」を突くセキュリティ機能の消去

BTR.sysが悪用されると、ロックされたファイルの削除やSystem32\driversへのファイル配置、レジストリの改変が可能になる。

特に強力なのが、再起動時に処理を予約するモードだ。ファイルシステムが書き込み可能になってからDefenderのサービスが立ち上がるまでの間には、わずかな空白時間が存在する。Vinopal氏が「ゴールデンウィンドウ」と呼ぶこの間にBTR.sysを実行させることで、WdFilter.sysやMsMpEng.exeといったセキュリティプログラムが自己保護のためにファイルをロックする前に、物理的に削除できてしまう。

カンファレンスにおける実機デモでは、最新の更新を適用し、設定の不正変更を防ぐ「改ざん防止（Tamper Protection）」機能を有効にしたWindows 11 25H2環境において、Defender関連のプログラム群が完全に消去される様子が示された。

悪用の前提条件とベンダー側の見解

ただし、この手法を実行するには、ドライバーの読み込み権限（SeLoadDriverPrivilege）を持つ管理者アカウントをあらかじめ掌握している必要がある。BTR_CLIはこの権限を持つアカウント上で自動的に権限を有効化して動作する設計となっている。

Microsoftのセキュリティレスポンスセンター（MSRC）は責任ある開示を受け、本件はソフトウェアの脆弱性ではなく、既存の管理者権限を起点としたアーキテクチャ上の信頼境界の越境であると説明した。事前の管理者権限が必要であることから、緊急でセキュリティパッチを提供する基準には該当しないと回答したという。Vinopal氏の公開リポジトリには「パッチの提供予定はない」と記されているが、Microsoftはこれについて公的なコメントを出していない。

なお、BTR.sysを巡っては2021年2月にもSentinelLabsのリサーチャーにより、非管理者ユーザーが任意ファイルを上書きできる特権昇格の脆弱性（CVE-2021-24092）が報告され、修正された経緯がある。また、Windows標準の内蔵ドライバーを攻撃に悪用する手口としては、サイバー犯罪グループ「FIN7」がセキュリティ対策製品の停止ツール「AvNeutralizer」においてProcLaunchMon.sysを悪用した前例が知られている。