根據 Check Point Research 的最新研究，安全研究員 Jiří Vinopal 在 Black Hat USA 2026 與 DEF CON 34 上揭露了一項特殊的攻擊技術。該技術並非利用傳統意義上的軟體漏洞，而是將 Microsoft Defender 內建的合法驅動程式 BTR.sys（Boot Time Removal Tool，開機時移除工具）武器化，使其在 Windows 7 到 Windows 11 25H2 的系統上，能夠在開機階段執行任意的內核級檔案與登錄表操作，進而徹底刪除包括 Defender 在內的所有安全防護軟體。
背景與 BTR.sys 的運作機制
BTR.sys 是一個 Windows 系統的必要組件，其設計初衷是為了處理那些在 Windows 運行期間因被系統鎖定而無法刪除的惡意軟體檔案或登錄表項目。當 Microsoft Defender 偵測到需要重新啟動後才能完成的清除工作時，會將 BTR.sys 從 MpEngine.dll（Defender 的核心引擎庫）中提取並部署到系統中。
由於 BTR.sys 是由微軟合法簽署且為系統必需的組件，它無法被列入微軟的漏洞驅動程式封鎖清單（Vulnerable Driver Blocklist），也無法透過 Windows Defender 應用程式控制（WDAC）來封鎖，因為這樣做會直接導致 Defender 本身的功能失效。
核心技術分析與攻擊路徑
研究員 Vinopal 透過逆向工程發現，BTR.sys 使用了一套未公開且專有的交易協定來接收指令。所有傳遞給驅動程式的配置數據都經過 RC4 加密，而該加密所使用的 256 位元金鑰被硬編碼在 BTR.sys 的 .rdata 段中。經測試，從 Windows 7 以來的 18 個不同 64 位元版本中，這個金鑰始終保持不變。
為了驗證此風險，研究團隊開發了名為 BTR_CLI 的概念驗證工具。該工具的操作流程如下：首先從 Defender 的定義更新路徑中提取 MpEngine.dll 並取出 BTR.sys 驅動程式；接著建構一個經過加密的合法指令集；最後透過直接寫入 HKLM 登錄表（設定 Type=1, Start=1, Group="Boot Bus Extender"）將驅動程式安裝為服務。這種安裝方式完全繞過了服務控制管理員（Service Control Manager），因此不會產生 Windows 事件 ID 7045 的安裝紀錄，具有極強的隱匿性。
一旦驅動程式被載入，它將在 Ring 0（內核模式）下執行，所有操作在系統日誌中會被歸類為 System 程序（PID 4）。攻擊者可以藉此刪除被鎖定的檔案、將檔案移動到 System32\drivers 等敏感路徑，或任意修改登錄表。
金黃窗口與防護繞過
最危險的應用在於 BTR.sys 的「重新啟動觸發模式」。研究員將此時機稱為「金黃窗口」（Golden Window），即檔案系統已變為可寫入，但 Defender 的使用者模式服務尚未啟動的極短時間間隔。在這個窗口期，BTR.sys 可以物理性地刪除 WdFilter.sys 和 MsMpEng.exe 等核心安全二進位檔案，在防護軟體能夠自我鎖定前將其徹底移除。
在 Black Hat 的現場演示中，BTR_CLI 成功在一部開啟了篡改防護（Tamper Protection）且版本更新至最新的 Windows 11 25H2 機器上，將整個 Defender 防護堆疊完全刪除。
實務影響、限制與防禦建議
此技術的主要限制在於，攻擊者必須先獲取具有管理員權限的帳戶，且該帳戶需擁有 SeLoadDriverPrivilege（載入驅動程式特權）。由於此技術依賴於已存在的管理員權限，微軟 MSRC 在收到通報後確認，這不符合立即發布修補程式的標準，因為這被視為一種架構上的信任邊界問題，而非單一的程式漏洞。目前並無計畫針對此設計進行修補。
這與以往常見的「攜帶漏洞驅動程式」（Bring Your Own Vulnerable Driver, BYOVD）攻擊不同。BYOVD 依賴第三方簽署但有漏洞的驅動程式，只要微軟將其加入黑名單即可封鎖；而 BTR.sys 是內建於 Windows 的合法組件，無法透過黑名單排除。
針對此威脅，Check Point Research 建議採取以下防禦措施：
第一，嚴格限制 SeLoadDriverPrivilege 特權的分配，這是最核心的硬化控制手段。 第二，監控 Sysmon 與 Windows 事件日誌，尋找 BTR.sys 被濫用的特徵，例如： Sysmon 事件 ID 15 偵測到目標檔名以 .sys:changelist 結尾的檔案流創建。 登錄表事件中出現 Group 為 Boot Bus Extender 且 Args 包含 :changelist 的服務鍵值，且缺乏對應的事件 ID 7045。 System 程序（PID 4）快速創建並刪除 \SystemRoot\Temp\BootClean.log 檔案。 Sysmon 事件 ID 6（驅動載入）後立即跟隨事件 ID 23（檔案刪除），且執行者為 PID 4。
儘管目前尚未發現此技術在真實世界的攻擊案例中被使用，但其利用內建合法驅動程式作為內核攻擊原語（Kernel Offensive Primitive）的特性，使其成為一個極具威脅的潛在工具。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。