https://cyberveille.ch/tags/kernel-primitive/ Recent content in Kernel Primitive on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 22 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-22-btr-reforged-le-driver-de-remediation-windows-defender-transforme-en-primitive-noyau-offensive/ Sat, 22 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-22-btr-reforged-le-driver-de-remediation-windows-defender-transforme-en-primitive-noyau-offensive/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 20 août 2026 par Jiří Vinopal (Check Point Research), cet article présente la <strong>première rétro-ingénierie complète</strong> du driver <code>BTR.sys</code> (<em>Windows Defender Boot-Time Removal</em>), un composant légitime signé Microsoft embarqué dans <code>MpEngine.dll</code>.</p> <p>L&rsquo;analyse a débuté lors d&rsquo;une investigation de réponse à incident où le driver avait été initialement confondu avec un artefact malveillant en raison de ses caractéristiques inhabituelles.</p> <h2 id="-fonctionnement-de-btrsys">⚙️ Fonctionnement de BTR.sys</h2> <ul> <li><strong>Origine</strong> : embarqué comme ressource PE (<code>BOOTTIMETOOL</code>) dans <code>MpEngine.dll</code>, déposé sur disque avec un nom aléatoire (<code>[a-z]{8}.sys</code>) uniquement lors d&rsquo;actions de remédiation nécessitant un redémarrage</li> <li><strong>Configuration</strong> : lue depuis un <strong>Alternate Data Stream (ADS)</strong> (<code>:changelist</code>) chiffré par <strong>RC4</strong> avec une clé de 256 octets codée en dur dans la section <code>.rdata</code>, identique sur toutes les versions</li> <li><strong>Intégrité</strong> : vérifiée par un <strong>CRC-32 modifié</strong> (~CRC32, sans inversion finale), non cumulatif par structure</li> <li><strong>Comportement</strong> : driver « one-shot » — charge, exécute les transactions, génère un rapport, puis se décharge immédiatement en retournant <code>0xC0000056</code> (STATUS_DELETE_PENDING)</li> </ul> <h2 id="-structure-de-transaction-format-propriétaire">🗂️ Structure de transaction (format propriétaire)</h2> <ul> <li><strong>Global Header</strong> (24 octets) : magic <code>0xFEE1DEAD</code>, version <code>0x00000002</code>, CRC, TransID</li> <li><strong>Global Payload</strong> : chemin Unicode du fichier de feedback (rapport d&rsquo;exécution)</li> <li><strong>Item Header</strong> (16 octets) : DataSize, ActionID, CRC</li> <li><strong>Item Data</strong> : variable selon l&rsquo;ActionID</li> </ul> <h2 id="-action-ids-weaponisables">🔑 Action IDs weaponisables</h2> <p><strong>Opérations fichiers :</strong></p>