Windows 11 aggiorna le build mentre BTR.sys può disarmare Defender

In sintesi

• Microsoft distribuisce le build 26220.9223, 26340.9233 e 28120.2760 con novità per AutoPlay, accessibilità e Feature Flags.
• Check Point trasforma il driver firmato BTR.sys di Microsoft Defender in una primitiva per operazioni kernel su file e registro.
• La tecnica richiede privilegi elevati e non risulta sfruttata in attacchi reali, ma può neutralizzare antivirus ed EDR durante l’avvio.

Microsoft aggiorna Windows 11 su due fronti molto diversi. Le nuove build Insider introducono un’esperienza AutoPlay modernizzata e un’impostazione che apre automaticamente le applicazioni a schermo massimizzato. Sul versante della sicurezza, Check Point Research dimostra invece che BTR.sys, driver firmato e utilizzato da Microsoft Defender per le operazioni di bonifica al riavvio, può essere trasformato in uno strumento capace di cancellare file e chiavi di registro dal kernel. Non si tratta di una vulnerabilità tradizionale né di un attacco già osservato, ma dell’abuso di una funzione legittima presente da anni nei sistemi Windows.

Microsoft distribuisce tre nuove build di Windows 11

L’annuncio pubblicato dal programma Windows Insider introduce la build 26220.9223 nel canale Beta, la 26340.9233 nel canale Experimental e la 28120.2760 per i dispositivi Experimental basati su Windows 11 26H1. Microsoft corregge innanzitutto un problema che rendeva vuoto l’elenco delle Experimental Feature Flags, impedendo agli Insider di visualizzare e gestire correttamente le funzionalità sperimentali disponibili. Dopo l’installazione della nuova build, le opzioni dovrebbero tornare visibili. Il ciclo prosegue la sperimentazione già osservata con le precedenti build 26220 e gli aggiornamenti fuori banda di Windows 11, ma rende più evidente la nuova struttura del programma Insider: il canale Experimental consente a Microsoft di testare componenti non ancora associati a una versione commerciale precisa, mentre Beta resta più vicino alle funzionalità destinate alla distribuzione generale. Le tre build non rappresentano quindi un nuovo aggiornamento stabile per tutti gli utenti e devono essere installate soltanto sui dispositivi iscritti ai rispettivi canali.

AutoPlay passa a WinUI e supporta meglio accessibilità e notifiche

La novità visiva principale riguarda AutoPlay, la finestra che appare collegando al computer smartphone, fotocamere, unità rimovibili e altri dispositivi. Microsoft ha ricostruito il dialogo attraverso WinUI per renderlo coerente con il design di Windows 11, aggiungendo il supporto alla modalità scura e migliorando l’adattamento al ridimensionamento del testo e alle impostazioni dello schermo. Le azioni disponibili restano familiari, ma le notifiche generate dal sistema vengono ora agganciate al Centro notifiche, consentendo di recuperarle più facilmente quando non vengono selezionate immediatamente.

La funzione viene distribuita inizialmente nel canale Experimental. Beta ed Experimental ricevono invece Open apps maximized, nuova opzione raggiungibile da Impostazioni, Accessibilità e infine Effetti visivi. Quando viene attivata, Windows massimizza automaticamente le finestre all’apertura. Microsoft presenta la funzione come un miglioramento per chi utilizza screen reader, ingrandimento, modalità tablet o semplicemente preferisce uno spazio di lavoro uniforme. È un cambiamento limitato, ma elimina la necessità di ingrandire manualmente ogni applicazione e conferma l’attenzione dedicata alle impostazioni che riducono attriti ripetitivi durante l’uso quotidiano.

BTR.sys trasforma la bonifica di Defender in una primitiva kernel

La ricerca più delicata riguarda BTR.sys, acronimo di Boot Time Removal Tool. Il driver è incorporato in MpEngine.dll e viene estratto da Microsoft Defender quando una bonifica richiede la cancellazione al riavvio di file bloccati o componenti impossibili da rimuovere mentre Windows è pienamente operativo. L’analisi tecnica di Check Point Research ricostruisce il protocollo proprietario utilizzato dal componente e dimostra che un attaccante con privilegi sufficienti può impartire al driver operazioni arbitrarie su file e registro. La configurazione viene conservata in un Alternate Data Stream denominato :changelist, cifrato con RC4 attraverso una chiave statica di 256 byte e protetto da controlli di integrità basati su una variante di CRC-32. Check Point ha individuato 18 versioni firmate del driver, tutte compatibili con la stessa chiave e con una struttura sostanzialmente invariata. Il tool dimostrativo BTR_CLI automatizza l’estrazione del driver, la creazione della transazione cifrata, la registrazione del servizio e l’esecuzione delle azioni. I test hanno coperto sistemi da Windows 7 fino a Windows 11 25H2 aggiornato a luglio 2026, senza richiedere l’introduzione di un driver vulnerabile esterno.

Il driver agisce durante una finestra favorevole dell’avvio

BTR.sys deve essere caricato come SERVICE_SYSTEM_START e può essere inserito nel gruppo Boot Bus Extender, collocandosi in una fase nella quale il filesystem è già disponibile ma molti servizi di protezione user-mode non sono ancora pienamente operativi. Check Point definisce questo intervallo una “golden window”: i primi filtri di Defender sono caricati, ma componenti come MsMpEng.exe e parte dello stack EDR non hanno ancora raggiunto la normale capacità di controllo.

Il driver firmato può così cancellare file protetti, rimuovere chiavi di registro relative ai servizi di sicurezza e impedire il caricamento dei componenti al riavvio successivo. La dimostrazione elimina WdFilter.sys, MsMpEng.exe e WdNisDrv.sys, oltre a intervenire sulle chiavi dei servizi Defender nonostante Tamper Protection. La dinamica ricorda gli attacchi nei quali un driver Huawei firmato viene impiegato per terminare antivirus ed EDR e le operazioni con cui Black Basta utilizza la tecnica BYOVD per disabilitare le difese. La differenza è sostanziale: BTR.sys non contiene necessariamente una vulnerabilità e appartiene allo stesso prodotto di sicurezza che viene neutralizzato. Inserirlo nella blocklist dei driver vulnerabili o bloccarlo con WDAC potrebbe interrompere le normali capacità di remediation di Defender.

La tecnica richiede privilegi elevati e non risulta sfruttata

BTR.sys non offre un accesso iniziale e non permette a un utente remoto privo di privilegi di compromettere direttamente Windows. L’aggressore deve già controllare il sistema e possedere il diritto SeLoadDriverPrivilege, normalmente associato a un contesto amministrativo o equivalente. La tecnica diventa utile nella fase successiva alla compromissione, quando un operatore vuole rimuovere Defender o un EDR prima di distribuire ransomware, rubare credenziali o stabilire persistenza. È la stessa logica seguita da Akira quando riavvia Windows in modalità provvisoria per ridurre l’efficacia degli strumenti di sicurezza, ma qui il passaggio avviene attraverso un componente Microsoft firmato e previsto dal sistema. Check Point non ha trovato prove di utilizzo reale della tecnica durante l’analisi dei campioni e della telemetria disponibile. Il proof-of-concept dimostra quindi una possibilità offensiva concreta, non una campagna già in corso. Questo elemento distingue BTR Reforged dalle vulnerabilità di Defender come ShieldBreak, presentata come bypass della correzione RoguePlanet, dove il prodotto di sicurezza partecipa a un percorso di escalation verso SYSTEM.

La firma Microsoft non basta per distinguere bonifica e attacco

Il rilevamento deve concentrarsi sul contesto e non sulla firma digitale. Check Point suggerisce di monitorare con Sysmon la creazione di stream .sys:changelist, il caricamento di versioni note di BTR.sys da processi estranei all’ecosistema Defender e le cancellazioni effettuate da System con PID 4 subito dopo il caricamento del driver. Meritano attenzione anche i servizi con nomi casuali registrati nel gruppo Boot Bus Extender, le chiavi contenenti il parametro :changelist e la creazione seguita dalla rapida eliminazione di BootClean.log. La difesa principale resta la restrizione di SeLoadDriverPrivilege e degli account amministrativi, perché senza un foothold elevato la catena non può essere preparata. La ricerca arriva mentre Microsoft ha appena corretto i crash delle scansioni Defender con le firme 1.457.236.0, ricordando che l’affidabilità del sistema dipende tanto dal funzionamento dell’antivirus quanto dalla capacità di impedire che le sue funzioni privilegiate vengano riutilizzate contro le difese. Le nuove build migliorano l’esperienza di Windows 11, ma BTR.sys mostra che anche un componente progettato per ripulire il sistema deve essere valutato come una possibile superficie offensiva.