「BTR Reforged」、Windows Defenderの「BTR.sys」を悪用してセキュリティ機能を無効化

Windows Defenderの署名済みドライバー「BTR.sys」を悪用

Microsoft Windows Defenderで使用される正規の署名済みドライバーを悪用し、セキュリティ機能を無効化できる新たな攻撃手法が公開された。この手法は、外部から脆弱なドライバーを追加で持ち込むことなく、Defenderから信頼されている既存のドライバーを悪用できる点が特徴となっている。Check Point Researchの研究者Ilich Vinopal氏は、Black Hat USA 2026とDEF CON 34でこの手法を「BTR Reforged」として発表した。影響範囲はWindows 7から最新のWindows 11 25H2までとされている。

攻撃に利用される「BTR.sys」はMicrosoftによって署名されたドライバーで、システムの再起動時に悪意のあるファイルやレジストリエントリを削除するために使用される。研究によると、この仕組みを悪用することで、攻撃者はカーネルレベルの権限でファイルやディレクトリの削除、移動などを実行できるという。外部から脆弱なドライバーを持ち込む従来のBYOVD（Bring Your Own Vulnerable Driver）攻撃とは異なり、BTR ReforgedはOSに存在する信頼済みのドライバーを利用する点が特徴となる。

BTR Reforgedは、システムの再起動時にWindows Defenderの主要サービスがまだ起動していないタイミングを利用する。Check Point Researchはこの仕組みを検証する概念実証（PoC）ツール「BTR_CLI」を開発し、Windows 11 25H2でもDefenderの主要コンポーネントを削除できることを実証した。ただし、攻撃の実行には管理者権限に加えて「SeLoadDriverPrivilege」が必要となるため、認証なしで実行可能なリモートコード実行（RCE）のような脆弱性とは性質が異なる。

Check Point Researchは対策として、管理者アカウントへの不要な権限付与を避けるとともに、ドライバーサービスの不審な登録やドライバー読み込み後に発生するファイル削除などの挙動を監視することを挙げている。現時点でBTR Reforgedが実際のサイバー攻撃に悪用された証拠は確認されていないものの、OSに標準で存在する信頼済みコンポーネントがセキュリティ機能の無効化に利用できることを示した研究として、関連する挙動を監視する必要がある。