Исследователи из Check Point Research раскрыли новую уязвимость, позволяющую злоумышленникам использовать легитимный драйвер Microsoft Defender для выполнения произвольных операций на уровне ядра в операционных системах Windows, начиная с версии 7 и заканчивая Windows 11 25H2. Данная уязвимость не требует эксплуатации программных ошибок и не включает в себя импорт драйвера из внешних источников.

Драйвер, именуемый BTR.sys (Boot Time Removal Tool), предназначен для удаления вредоносных программ во время загрузки системы. Однако, как показали исследования, его можно использовать для выполнения операций, которые могут повредить или удалить установленное антивирусное программное обеспечение.

Процесс атаки предполагает, что злоумышленник получает доступ к системе с привилегиями, позволяющими ему инициировать загрузку BTR.sys. После этого он может использовать возможности драйвера для манипуляции с файлами и реестром, что открывает широкие возможности для нанесения вреда.

Эта уязвимость затрагивает не только пользователей Windows 10 и 11, но и более старые версии ОС, такие как Windows 7, что делает её особенно опасной для организаций, использующих устаревшие системы.

Check Point Research призывает пользователей и администраторов систем обратить внимание на безопасность своих устройств и обновить антивирусные решения, чтобы минимизировать риски. Microsoft уже уведомлена об уязвимости и, вероятно, будет работать над её устранением в ближайших обновлениях.

В условиях постоянных атак и растущих угроз информационной безопасности, важно следить за обновлениями и рекомендациями от производителей программного обеспечения, чтобы защитить свои системы от потенциальных угроз.

Источник новости:
The Hacker News

Читать полностью