เตือนภัยสายไอที! เมื่อไดรเวอร์ของ Microsoft Defender ถูกดัดแปลงเป็นอาบวุธลบโปรแกรมความปลอดภัยตอนเปิดเครื่อง

งานนี้ทำเอาวงการไซเบอร์ซีเคียวริตีสะเทือนครับ เมื่อนักวิจัยจาก Check Point Research ได้เปิดเผยเทคนิคสุดพิสดารที่สามารถเปลี่ยน "เครื่องมือป้องกัน" ให้กลายเป็น "อาวุธ" โดยดัดแปลงไดรเวอร์ที่เซ็นสัญญาถูกต้องตามกฎหมายของ Microsoft Defender เอง เพื่อใช้นำไปดำเนินการกับไฟล์และเรจิสตรีในระดับ Kernel (Ring 0) ได้ตามใจชอบ บน Windows ตั้งแต่ Windows 7 ยาวไปจนถึง Windows 11 25H2

ความน่ากลัวอยู่ตรงที่ ไม่ต้องใช้ช่องโหว่ซอฟต์แวร์ (No Exploit) และ ไม่ต้องนำเข้าไดรเวอร์แปลกปลอมจากภายนอก แม้แต่น้อยครับ

ไดรเวอร์เจ้าปัญหา: BTR.sys คืออะไร?

ไดรเวอร์ตัวนี้มีชื่อว่า BTR.sys (Boot Time Removal Tool) ซึ่งเป็นองค์ประกอบที่จำเป็นของ Windows มีหน้าที่ลบไฟล์หรือเรจิสตรีที่เป็นมัลแวร์ที่ถูกล็อกไว้ขณะ Windows กำลังทำงาน โดยจะทำงานตอนเปิดเครื่องใหม่ (Reboot)

ด้วยความที่เป็นไฟล์ระบบหลัก ทำให้ไม่สามารถใส่ชื่อ BTR.sys ลงในรายการบล็อกไดรเวอร์อันตราย (Vulnerable Driver Blocklist) หรือบล็อกด้วย WDAC ได้เลย เพราะจะส่งผลให้ Defender ทำงานไม่ได้ทันทีครับ

ค้นพบได้อย่างไร?

Jiří Vinopal นักวิจัยและวิศวกรย้อนรอย (Reverse Engineer) จาก Check Point Research ได้นำเสนอข้อมูลนี้บนเวทีใหญ่ระดับโลกอย่าง Black Hat USA 2026 และ DEF CON 34 ที่ลาสเวกัส พร้อมปล่อยเผยแพร่งานวิจัยและเครื่องมือ Proof-of-Concept (PoC) ชื่อ BTR_CLI เมื่อวันที่ 20 สิงหาคม 2026 ที่ผ่านมา

จุดเริ่มต้นของเรื่องนี้เกิดจากการสอบสวนเคสการโจมตีระบบจริง ซึ่งพบพฤติกรรมเทเลเมทรีน่าสงสัย แต่เมื่อไล่ตรวจกลับพบว่าเป็นเพียงการทำงานปกติของ Defender เมื่อนำไดรเวอร์ไปย้อนรอยดูโครงสร้างอย่างละเอียด จึงพบเรื่องชวนอึ้งว่า

• BTR.sys ถูกซ่อนอยู่ในไฟล์
• โครงสร้างข้อมูลธุรกรรมของมันจะถูกเข้ารหัสแบบ RC4
• คีย์เข้ารหัสขนาด 256 ไบต์ ถูกฝังแข็ง (Hard-coded) อยู่ในไฟล์ BTR.sys ทุกเวอร์ชัน นับตั้งแต่ยุค Windows 7 จนถึงปัจจุบัน

กลไกการทำงานของ BTR Reforged

เครื่องมือ PoC อย่าง BTR_CLI จะทำการสกัดไฟล์ BTR.sys ออกมาจาก MpEngine.dll แล้วสร้างชุดคำสั่งที่เข้ารหัสถูกต้องขึ้นมา จากนั้นแอบติดตั้งไดรเวอร์เป็นบริการ (Service) ผ่านการเขียน HKLM Registry โดยตรง

เทคนิคนี้ทำให้หลบเลี่ยง Service Control Manager ได้แบบเนียนๆ โดยไม่สร้างบันทึก Event ID 7045 (Service Installed) ให้ตื่นตระหนก

การทำงานจะเกิดขึ้นในช่องว่างเวลาพิเศษที่เรียกว่า "Golden Window" หรือช่วงเวลาหลังจากระบบไฟล์ (Filesystem) เริ่มเขียนได้แล้ว แต่โปรแกรมความปลอดภัยระดับ User-mode ยังไม่ทันเริ่มทำงาน ไดรเวอร์จะสวมรอยเป็นกระบวนการ System (PID 4) เข้าไปลบไฟล์ซอฟต์แวร์ความปลอดภัย เช่น WdFilter.sys หรือ MsMpEng.exe ทิ้งได้สบายๆ ก่อนที่ระบบจะตั้งค่าล็อกไฟล์ไว้ด้วยซ้ำ

ในการสาธิตสดที่ Black Hat แสดงให้เห็นว่า BTR_CLI สามารถลบชุดซอฟต์แวร์ Defender ออกจาก Windows 11 25H2 ที่อัปเดตเดตล่าสุดและเปิด Tamper Protection อยู่ ได้อย่างราบคาบครับ

สรุปสถานการณ์และการป้องกัน

• เงื่อนไขการโจมตี: แฮกเกอร์ต้องได้สิทธิ์ Admin และสิทธิ์ SeLoadDriverPrivilege ในเครื่องเป้าหมายก่อนแล้วเท่านั้น
• ยังไม่มีการใช้จริง: Check Point ยืนยันว่ายังไม่พบหลักฐานการนำเทคนิคนี้ไปใช้ในการโจมตีจริงในธรรมชาติ ทำให้ฝั่งผู้ดูแลระบบยังมีเวลาเตรียมรับมือได้ก่อน
• จุดยืนของ Microsoft: MSRC ระบุว่าประเด็นนี้ไม่เข้าเกณฑ์การออกแพตช์แก้ไขฉุกเฉิน เนื่องจากต้องอาศัยสิทธิ์ผู้ดูแลระบบที่มีอยู่เดิม

คำแนะนำในการตรวจจับ:

ผู้ดูแลระบบควรเฝ้าระวัง Sysmon ดังนี้

1. Sysmon Event ID 15 ที่พาธไฟล์ลงท้ายด้วย
2. Sysmon Event ID 12 หรือ 13 ที่มีการสร้าง Service Key โดยมีกลุ่มเป็น "Boot Bus Extender" แต่ไม่มี Event ID 7045
3. การล็อกสร้าง/ลบไฟล์ \SystemRoot\Temp\BootClean.log โดยกระบวนการ System (PID 4) อย่างรวดเร็ว
4. จำกัดการมอบสิทธิ์ SeLoadDriverPrivilege ให้กับผู้ใช้อย่างเข้มงวดที่สุดครับ

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก