นักวิจัยสาธิตวิธีใช้ไดรเวอร์ของ Microsoft Defender เองสั่งงานระดับเคอร์เนล โดยไม่ต้องพึ่งช่องโหว่

นักวิจัยจาก Check Point เปิดเผยเทคนิคที่ใช้ไดรเวอร์กู้ระบบตอนบูตของ Microsoft Defender เอง สั่งงานระดับเคอร์เนลได้โดยไม่ต้องอาศัยช่องโหว่ใด ๆ ไมโครซอฟท์ระบุว่ายังไม่เข้าเกณฑ์ต้องออกแพตช์ทันทีเพราะต้องมีสิทธิ์ผู้ดูแลระบบอยู่ก่อนแล้ว

Jiří Vinopal นักวิจัยภัยคุกคามจาก Check Point Research นำเสนอผลงานที่งาน Black Hat USA 2026 และ DEF CON 34 ในเดือนสิงหาคม 2026 เกี่ยวกับการนำไดรเวอร์ชื่อ BTR.sys ซึ่งย่อมาจาก Boot Time Removal Tool มาใช้สั่งงานระดับเคอร์เนลตามอำเภอใจ จุดที่ทำให้กรณีนี้ต่างจากข่าวช่องโหว่ทั่วไปคือเทคนิคนี้ไม่ได้อาศัยบั๊กของซอฟต์แวร์เลย แต่ใช้ความสามารถที่ไดรเวอร์มีอยู่แล้วตามการออกแบบ

BTR.sys ถูกฝังไว้เป็นรีซอร์สภายในไฟล์ MpEngine.dll ของ Microsoft Defender และเป็นส่วนประกอบที่มีมาตั้งแต่ Windows 7 จนถึง Windows 11 เวอร์ชัน 25H2 โดยไม่สามารถใส่ไว้ในบัญชีดำของไดรเวอร์ได้ เพราะจะทำให้ Defender เองทำงานไม่ได้ นี่คือเหตุผลที่นักวิจัยมองว่าเป็นเป้าหมายที่น่าสนใจสำหรับผู้โจมตี

สิ่งที่นักวิจัยทำคือย้อนวิศวกรรมโปรโตคอลรับส่งคำสั่งเฉพาะตัวของไดรเวอร์ แล้วพบว่ากุญแจเข้ารหัส RC4 ขนาด 256 ไบต์ถูกฝังไว้แบบตายตัวตั้งแต่ยุค Windows 7 และไม่เคยเปลี่ยนเลยตลอด 18 เวอร์ชัน เครื่องมือพิสูจน์แนวคิดที่ชื่อ BTR_CLI จึงสามารถดึงไดรเวอร์ออกมา ประกอบคำสั่งที่เข้ารหัสถูกต้อง ติดตั้งเป็นเซอร์วิสโดยข้ามตัวจัดการเซอร์วิสปกติ แล้วสั่งงานในช่วงบูตก่อนที่บริการฝั่งผู้ใช้ของ Defender จะเริ่มทำงาน ความสามารถที่ได้รวมถึงการลบไฟล์ที่ถูกล็อกอยู่ การย้ายไฟล์เข้าไดเรกทอรีระบบ และการถอดไฟล์ของโปรแกรมความปลอดภัยออก

ทางศูนย์รับแจ้งปัญหาความปลอดภัยของไมโครซอฟท์ยืนยันผลการวิจัย แต่ระบุว่ายังไม่เข้าเกณฑ์ที่ต้องออกแพตช์ทันที เนื่องจากการใช้เทคนิคนี้ต้องมีสิทธิ์ระดับผู้ดูแลระบบอยู่ก่อนแล้ว โดยเฉพาะสิทธิ์ SeLoadDriverPrivilege ซึ่งในทางปฏิบัติหมายความว่าผู้โจมตีต้องยึดเครื่องได้ระดับหนึ่งแล้วก่อนจะใช้วิธีนี้ต่อยอด

สำหรับทีมไอทีในไทย สิ่งที่ทำได้ทันทีคือจำกัดการมอบสิทธิ์ SeLoadDriverPrivilege ให้เหลือเฉพาะบัญชีที่จำเป็นจริง ๆ ตั้งการเฝ้าระวัง Sysmon Event ID 15 สำหรับสตรีมชื่อ .sys:changelist เฝ้าดูการสร้างเซอร์วิสที่อยู่ในกลุ่ม Boot Bus Extender ในรีจิสทรี และจับสัญญาณการสร้างแล้วลบไฟล์ BootClean.log อย่างรวดเร็ว รวมถึงรูปแบบที่มีการโหลดไดรเวอร์แล้วตามด้วยการลบไฟล์จากโปรเซสระบบทันที บทเรียนที่กว้างกว่านั้นคือเครื่องมือที่ระบบไว้ใจโดยกำเนิดก็ต้องอยู่ในขอบเขตการเฝ้าระวังเช่นกัน