Check Point 逆向 Windows Defender BTR.sys 驱动，将其改造为内核操作原语
BTR Reforged: Weaponizing Defender’s Remediation Driver as a Kernel Operation Primitive
AI 导读
Check Point 逆向 Windows Defender 的 Boot-Time Removal 驱动 BTR.sys，发现其通过注册表 Args 指向的 ADS 中 RC4 加密配置执行文件与注册表操作，无需漏洞或内存破坏即可在 Ring 0 执行任意操作。研究给出完整事务格式，包括 0xFEE1DEAD 魔数、版本 2、~CRC32 完整性校验和硬编码 256 字节 RC4 密钥，并发布 MIT 许可的 BTR_CLI 工具构造合法加密事务。利用该驱动在 Phase 1 的 Boot Bus Extender 组加载时机，可在用户态安全服务启动前删除 WdFilter.sys、MsMpEng.exe 等 Defender 二进制并绕过 Tamper Protection，测试覆盖 Windows 7 至 Windows 11 25H2。
推荐理由
完整逆向 Windows Defender 的 BTR.sys 驱动，展示如何用微软签名驱动在 Ring 0 执行任意文件与注册表操作，并给出 Sysmon 检测思路。