Microsoft Defender dirancang untuk melindungi perangkat Windows dari berbagai ancaman siber. Namun, penelitian Check Point Research menemukan bahwa salah satu driver bawaan Microsoft Defender dapat disalahgunakan untuk menghapus komponen keamanan pada komputer.

Driver tersebut adalah BTR.sys (Boot Time Removal Tool). Komponen ini merupakan bagian resmi Microsoft Defender yang digunakan untuk menyelesaikan proses penghapusan malware ketika komputer melakukan restart.

Teknik yang disebut BTR Reforged tersebut memungkinkan hacker yang telah memperoleh akses administrator untuk memanfaatkan BTR.sys dan menjalankan operasi pada tingkat kernel. Meski demikian, Check Point Research menyatakan belum menemukan bukti bahwa teknik ini telah digunakan dalam serangan nyata.

Hacker Dapat Memanfaatkan Driver Resmi Windows

BTR.sys bukan malware atau driver asing. Komponen ini sudah menjadi bagian dari Windows sejak Windows 7 dan digunakan ketika Microsoft Defender perlu menghapus file atau registry yang terkunci saat sistem sedang berjalan.

Check Point Research menemukan bahwa driver tersebut dapat diarahkan untuk menjalankan operasi tertentu melalui konfigurasi khusus. Kemampuan yang ditemukan peneliti mencakup beberapa fungsi berikut:

• BTR.sys dapat menjalankan operasi pada tingkat kernel atau Ring 0.
• File dan direktori dapat menjadi objek operasi.
• Registry key dan value dapat dihapus atau diubah.
• Aktivitas tersebut memanfaatkan komponen yang sudah dipercaya oleh Windows.

Kondisi ini membuat penyalahgunaan driver resmi menjadi tantangan karena aktivitasnya tidak selalu terlihat seperti penggunaan malware biasa.

Baca Juga: Waspada Software Palsu, Windows Bisa Kena Serangan Malware

Komponen Keamanan Windows Bisa Menjadi Target

Dalam pengujian, BTR.sys dapat digunakan untuk menghapus file yang terkunci, memindahkan file, serta menghapus atau mengubah registry. Kemampuan tersebut dapat dimanfaatkan untuk mengganggu komponen keamanan Windows.

Salah satu aspek penting adalah waktu eksekusi. BTR.sys dapat menjalankan operasi ketika sistem file sudah dapat ditulis, tetapi sejumlah layanan Microsoft Defender pada user mode belum sepenuhnya aktif. Check Point Research menyebut periode ini sebagai “golden window”.

Dalam demonstrasi tersebut, beberapa kemampuan BTR.sys yang dapat dimanfaatkan untuk mengganggu sistem keamanan meliputi:

• Menghapus file dan direktori yang terkunci.
• Mengubah atau menghapus registry key dan value.
• Menjadwalkan operasi agar dijalankan saat komputer melakukan restart.
• Menargetkan komponen seperti WdFilter.sys dan MsMpEng.exe.

Serangan Membutuhkan Hak Administrator

Teknik BTR Reforged tidak dapat digunakan oleh sembarang pengguna. Hacker harus terlebih dahulu memperoleh akses administrator dengan SeLoadDriverPrivilege, yaitu hak yang memungkinkan pengguna memuat driver tertentu ke dalam sistem.

Artinya, teknik ini lebih relevan sebagai metode setelah sistem berhasil dikompromikan. Akses administratif yang telah dikuasai kemudian dapat dimanfaatkan untuk melemahkan perlindungan endpoint. Beberapa persyaratan dan kondisi yang perlu diperhatikan adalah:

• Hacker membutuhkan akses administrator.
• SeLoadDriverPrivilege menjadi persyaratan utama.
• Teknik ini bukan metode untuk memperoleh hak administrator dari nol.
• Risiko meningkat ketika hak administratif diberikan terlalu luas.

Mengapa BTR.sys Sulit Diblokir?

BTR.sys berbeda dari serangan Bring Your Own Vulnerable Driver (BYOVD) yang memanfaatkan driver pihak ketiga yang memiliki kerentanan. Driver rentan umumnya dapat dimasukkan ke dalam daftar blokir.

BTR.sys justru merupakan bagian dari Microsoft Defender dan dibutuhkan untuk fungsi remediasi malware. Karena itu, memblokir driver tersebut secara langsung berpotensi mengganggu fungsi Defender. Perbedaan tersebut dapat dilihat dari beberapa karakteristik berikut:

• BTR.sys tersedia sebagai komponen bawaan Windows.
• Driver memiliki fungsi resmi dalam proses penghapusan malware.
• Teknik ini tidak bergantung pada driver pihak ketiga yang rentan.
• Pemblokiran driver tidak dapat dilakukan dengan pendekatan yang sama seperti terhadap driver berbahaya lainnya.

Baca Juga: Pengguna Windows Wajib Waspada dengan Backdoor Baru Ini

Aktivitas Mencurigakan Tetap Bisa Dideteksi

Meski memanfaatkan driver resmi, penyalahgunaan BTR.sys dapat meninggalkan pola tertentu pada log sistem. Check Point Research merekomendasikan organisasi memantau kombinasi aktivitas driver, registry, dan proses System.

Pemantauan tersebut dapat membantu tim keamanan membedakan aktivitas remediasi Defender yang normal dengan pola yang berpotensi menunjukkan penyalahgunaan. Beberapa indikator yang dapat diperhatikan, antara lain:

• Sysmon Event ID 15 pada file .sys dengan Alternate Data Stream berakhiran :changelist.
• Sysmon Event ID 12 atau 13 ketika service key memiliki Args yang mengandung :changelist dan Group bernilai Boot Bus Extender.
• Aktivitas tersebut muncul tanpa Windows Event ID 7045.
• Pembuatan dan penghapusan \SystemRoot\Temp\BootClean.log oleh proses System.
• Sysmon Event ID 6 yang menunjukkan driver dimuat dan kemudian diikuti Event ID 23.

Batasi Hak Administrator untuk Mengurangi Risiko

Karena teknik ini bergantung pada hak administratif, salah satu langkah mitigasi utama adalah membatasi pemberian SeLoadDriverPrivilege. Pengelolaan hak akses menjadi penting karena hacker harus memiliki privilese tertentu sebelum dapat memanfaatkan BTR.sys.

Selain membatasi hak tersebut, perusahaan perlu memperkuat pengawasan terhadap akun dengan akses istimewa dan aktivitas yang terjadi pada endpoint. Langkah yang dapat diterapkan, antara lain:

• Membatasi SeLoadDriverPrivilege hanya untuk pihak yang membutuhkan.
• Mengaudit hak akses administrator secara berkala.
• Memantau aktivitas pemuatan driver.
• Mengawasi perubahan registry yang berkaitan dengan service.
• Mengorelasikan log endpoint dengan Windows Event Log.
• Mendeteksi perubahan sistem yang tidak biasa.

Temuan BTR Reforged menunjukkan bahwa ancaman siber tidak selalu berasal dari malware atau aplikasi asing. Komponen resmi yang dipercaya sistem pun dapat disalahgunakan ketika hacker telah memperoleh hak akses tertentu. Karena itu, pengamanan endpoint perlu mencakup perlindungan antivirus, pengelolaan hak akses, serta pemantauan aktivitas sistem secara menyeluruh.