BTR Reforged : le driver Defender transformé en arme noyau

Un driver légitime transformé en arme noyau au cœur de Black Hat 2026

Le 20 août 2026, Jiří Vinopal, chercheur et ingénieur en rétro-ingénierie chez Check Point Research, a publié une recherche qui retourne l'un des composants de sécurité les plus fondamentaux de Windows contre les défenses elles-mêmes. La technique, nommée BTR Reforged, cible BTR.sys — le Boot Time Removal Tool — un driver signé cryptographiquement par Microsoft, intégré dans MpEngine.dll, la librairie cœur de Microsoft Defender. Ce composant accomplit une tâche précise : compléter les remédiations que Defender ne peut pas terminer à chaud, typiquement supprimer des fichiers verrouillés par le système d'exploitation lors du prochain démarrage.

Pour accomplir cette mission, BTR.sys s'exécute dans la phase la plus précoce du chargement de Windows, avant que les solutions tierces de protection des endpoints (EDR) n'aient eu le temps de s'initialiser. C'est précisément cette fenêtre d'exécution privilégiée que BTR Reforged détourne. Le fichier de configuration que BTR.sys lit au démarrage peut contenir des instructions pour supprimer des fichiers et répertoires, déplacer des fichiers, supprimer des clés et valeurs de registre, et écrire des données dans le registre. Un acteur malveillant disposant du privilège Windows SeLoadDriverPrivilege peut manipuler cette configuration pour diriger le driver vers les exécutables de n'importe quelle solution de sécurité tierce.

Ce qui distingue BTR Reforged des techniques d'évasion classiques est l'absence totale d'exploitation d'une vulnérabilité. Aucun débordement de tampon, aucune race condition, aucune élévation de privilèges via une faille logicielle : uniquement des composants légitimes de Windows utilisés exactement conformément à leur conception d'origine. Cette approche s'inscrit dans la catégorie des attaques Living Off The Land (LotL), mais portée à son niveau le plus profond : Ring 0, le niveau d'exécution le plus élevé du noyau Windows, avant même que la pile de protection ne soit active.

Lors de la démonstration live à Black Hat USA 2026, Jiří Vinopal a supprimé l'intégralité de la pile Defender sur une machine entièrement patchée et protégée, sous les yeux du public. La démonstration a été reproduite à DEF CON 34, la conférence hacker parallèle tenue simultanément à Las Vegas. L'outil de preuve de concept, BTR_CLI, a été publié en open source sur GitHub à la fin de la session, accompagné de recommandations de détection basées sur les comportements — et non sur les signatures de fichiers.

La portée est universelle : BTR_CLI fonctionne sur toutes les versions Windows testées, de Windows 7 Build 7601 à Windows 11 25H2, la version la plus récente disponible en juillet 2026. La particularité architecturale qui rend cette technique particulièrement difficile à contrer est que BTR.sys est un composant requis de Windows. Contrairement à des drivers tiers vulnérables qui peuvent être ajoutés à la Microsoft Vulnerable Driver Blocklist ou bloqués via Windows Defender Application Control (WDAC), BTR.sys ne peut pas être bloqué sans désactiver Defender lui-même — ce qui serait contre-productif.

Pour déclencher l'attaque, l'acteur malveillant doit disposer de SeLoadDriverPrivilege, le droit Windows autorisant le chargement et le déchargement de drivers noyau. Ce privilège est par défaut accordé aux membres du groupe Administrateurs locaux et à certains comptes de service. Une fois ce droit obtenu — via une élévation de privilèges préalable, un credential d'administrateur volé, ou une misconfiguration GPO — l'attaquant configure BTR.sys pour supprimer les exécutables de l'EDR cible au prochain redémarrage. La machine se rallume, l'EDR ne démarre plus, sans alerte, sans log visible, sans indicateur dans les tableaux de bord SOC.

Check Point Research précise n'avoir trouvé aucune preuve que cette technique ait été utilisée dans des attaques réelles à ce jour. Cette information est importante mais ne réduit pas l'urgence : la publication de BTR_CLI en open source et la présentation devant des milliers de participants à Black Hat et DEF CON signifient que les informations techniques nécessaires à l'exploitation sont désormais publiques. La fenêtre entre la divulgation d'une technique offensive et son adoption par des groupes criminels ou étatiques s'est considérablement réduite ces dernières années.

Microsoft n'a pas publié de correctif et n'a pas annoncé de changement d'architecture prévu pour BTR.sys. La position officielle est que l'attaque requiert des privilèges élevés préalables, limitant théoriquement la surface d'exposition. Dans les environnements réels, lorsqu'un attaquant a déjà obtenu SeLoadDriverPrivilege, BTR Reforged offre un moyen furtif et fiable d'aveugler les défenses avant de déployer ransomware, backdoor persistante ou outil d'exfiltration — au moment le plus favorable pour l'attaquant.

Pourquoi BTR Reforged remet en question les fondations de la défense endpoint

Cette recherche s'inscrit dans une tendance longue : l'exploitation des composants légitimes de la pile de sécurité Windows comme vecteurs d'attaque. Des techniques similaires ont impliqué des drivers signés WHQL, des outils d'administration légitimes (PsExec, certutil, wmic) et des fonctionnalités Windows détournées de leur usage premier. La nouveauté de BTR Reforged est l'altitude d'exécution : Ring 0, phase de démarrage pré-EDR, driver non-blocable par construction.

Le paradoxe est structurel. Plus les solutions de sécurité s'intègrent profondément dans le noyau Windows pour résister aux tentatives de désactivation depuis l'espace utilisateur, plus elles créent potentiellement de nouvelles surfaces d'attaque. BTR.sys en est l'illustration parfaite : un mécanisme conçu pour rendre Windows plus sûr peut être retourné contre les défenses. Corriger ce problème nécessiterait une refonte architecturale du mécanisme de remédiation au démarrage, impliquant potentiellement des ruptures de compatibilité.

Pour les organisations qui dépendent d'un EDR comme composant central de leur stratégie de défense, les implications sont immédiates. Un attaquant ayant compromis un compte avec SeLoadDriverPrivilege peut programmer silencieusement l'élimination de l'EDR pour le prochain redémarrage. La détection ne peut pas reposer sur les signatures : BTR.sys est légitime. Elle doit s'appuyer sur des détections comportementales : accès inhabituels aux fichiers de configuration de MpEngine.dll, modifications du registre associées au mécanisme de remédiation, attribution anormale de SeLoadDriverPrivilege à des comptes qui ne devraient pas en disposer.

Les équipes de threat hunting doivent intégrer ce vecteur dans leurs hypothèses de compromission. Les solutions de surveillance de l'intégrité des fichiers (FIM) configurées sur les répertoires Defender, les SIEM avec alertes sur l'Event ID 4703 et les revues régulières des membres des groupes à privilèges élevés sont les outils à activer. La réponse à BTR Reforged passe par une défense en profondeur qui ne repose pas sur l'EDR comme unique ligne de défense.

Ce qu'il faut retenir

• BTR.sys, driver légitime et non-blocable de Microsoft Defender, peut être configuré pour supprimer EDR et antivirus depuis Ring 0 avant que les protections tierces ne se chargent — aucune faille exploitée, aucun driver externe requis.
• La technique fonctionne de Windows 7 à Windows 11 25H2 ; Microsoft ne prévoit pas de patch et aucun CVE n'a été assigné.
• Mesures immédiates : restreindre SeLoadDriverPrivilege via GPO, déployer des détections comportementales (FIM sur les répertoires Defender, alertes Event ID 4703), auditer les groupes Administrateurs locaux, et diversifier les lignes de défense au-delà du seul EDR.