Microsoft Defender-in Sürücüsü Təhlükəsizlik Proqramlarını Silmək Üçün Silahlandırıla Bilər

Təhlükəsizlik Proqramlarını Hədəf Alan Yeni Texnika

Check Point Research kibertəhlükəsizlik şirkəti, Microsoft Defender-in öz qanuni imzalı yüklənmə zamanı bərpa sürücüsü olan BTR.sys-in Windows sistemlərində (Windows 7-dən Windows 11 25H2-yə qədər) kernel səviyyəsində sənədlər və reyestr əməliyyatları aparmaq, nəticədə təhlükəsizlik proqramlarını silmək üçün istismar edilə biləcəyini aşkar edib. Bu diqqətəlayiq texnika hər hansı bir proqram boşluğundan (software flaw) istifadə etmir və sistemə kənardan heç bir sürücü idxal etmədən həyata keçirilə bilər.

BTR.sys Sürücüsünün Rolu və Sui-istifadə Potensialı

BTR.sys, yəni “Boot Time Removal Tool” və ya “Boot Time Remediation Driver”, Microsoft tərəfindən rəsmən imzalanmış və əməliyyat sisteminin yüklənməsi zamanı zərərli proqramları və ya zədələnmiş faylları təmizləmək üçün nəzərdə tutulmuş leqal bir sürücüdür. Onun əsas məqsədi, sistem tam yüklənmədən əvvəl kritik təmizləmə əməliyyatlarını həyata keçirərək sistemin bütövlüyünü təmin etməkdir.

Lakin Check Point tədqiqatçıları, bu leqal sürücünün necə fərqli bir məqsəd üçün – təhlükəsizlik proqramlarını və ya digər həssas faylları silmək, dəyişdirmək və ya aradan qaldırmaq üçün istifadə edilə biləcəyini nümayiş etdiriblər. Sürücü kernel səviyyəsində işlədiyi üçün ona yüksək imtiyazlar verilir, bu da hücum edənlərə sistem üzərində geniş nəzarət imkanları yaradır.

Hücum Mexanizmi və Təhlükəsizlik Implikasiyaları

Bu texnika “Bring Your Own Vulnerable Driver” (BYOVD) tipli hücum sxeminə bənzəsə də, burada istifadə olunan sürücü zəif deyil, əksinə, Microsoft tərəfindən etibarlı şəkildə imzalanmışdır. Bu o deməkdir ki, əksər təhlükəsizlik həlləri BTR.sys-i qanuni və etibarlı bir komponent kimi qəbul edir. Hücum edənlər bu leqal funksionallıqdan sui-istifadə edərək rəqib təhlükəsizlik həllərini deaktiv edə, hədəf sistemdə zərərli proqramların daimi qalmasına şərait yarada bilərlər. Bu, müdafiə qatını bypass etmək üçün xüsusilə effektiv bir üsuldur.

Belə bir texnika ilə hücum edənlər sistem yüklənərkən təhlükəsizlik agentlərini tamamilə aradan qaldıra və ya onların fəaliyyətini ciddi şəkildə məhdudlaşdıra bilərlər. Bu, ransomware hücumlarından kritik sistemlərə sızmaya qədər geniş spektrli kiber təhdidlərə qapı açır, çünki zərərli proqramlar müdafiəsiz bir mühitdə maneəsiz fəaliyyət göstərə bilər.

Müdafiə və Tövsiyələr

Bu texnika proqram boşluğundan istifadə etmədiyi üçün ənənəvi yamalarla həll edilmir. Müəssisələr və fərdlər aşağı səviyyəli sürücü fəaliyyətini diqqətlə izləməli, naməlum və ya şübhəli kernel əməliyyatlarını aşkar etmək üçün güclü Endpoint Detection and Response (EDR) həllərindən istifadə etməlidirlər. Sistem bütövlüyü yoxlamaları və sürücü imza yoxlamalarının ardıcıl tətbiqi də bu cür sui-istifadə cəhdlərinin qarşısını almağa kömək edə bilər.

Həmçinin, sistemlərdə minimum imtiyaz prinsipini tətbiq etmək və istifadəçilərin sürücüləri quraşdırmaq imtiyazlarını məhdudlaşdırmaq vacibdir. Bu cür texnikaların aşkar edilməsi və qarşısının alınması üçün davamlı monitorinq və qabaqcıl təhlükəsizlik yanaşmaları böyük əhəmiyyət kəsb edir.