Check Point раскрыла, что драйвер Microsoft Defender может удалять защитное ПО при загрузке

AI-дайджестРедакция Mimile.ai21 августа 2026 г. в 20:52

Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.

Check Point раскрыла, что драйвер Microsoft Defender может удалять защитное ПО при загрузке

Check Point Research раскрыла метод, использующий собственный подписанный драйвер Microsoft Defender BTR.sys для произвольных операций с файлами и реестром на уровне ядра в Windows 7–11 25H2. Метод не требует уязвимости и не импортирует внешний драйвер. Результаты представлены на Black Hat USA 2026 и DEF CON 34 в Лас-Вегасе 20 августа 2026 года.

2 источника

Check Point раскрыла, что драйвер Microsoft Defender может удалять защитное ПО при загрузке

thehackernews.com

The Hacker News

scworld.com

SC Media

Читать также

Check Point превращает драйвер Microsoft Defender в инструмент для операций на уровне ядра

Исследователи Check Point Research обнаружили, что подписанный Microsoft драйвер восстановления Defender BTR.sys можно использовать для произвольных операций с файлами и реестром на уровне ядра. Метод не эксплуатирует уязвимость, а злоупотребляет встроенной функциональностью, что потенциально позволяет атакующим вмешиваться в работу средств безопасности. Центр реагирования Microsoft заявил, что проблема не соответствует критериям для немедленного исправления.

Забытые загрузчики раскрывают слепое пятно Secure Boot

Почти дюжина отозванных загрузчиков UEFI shim оставались доверенными годами, позволяя атакующим обходить Secure Boot. Уязвимость подчеркивает системный пробел в управлении отзывами по всей отрасли.

Августовское обновление Microsoft исправляет более 400 уязвимостей, включая эксплуатируемый zero-day

Во вторник Microsoft выпустила августовское обновление Patch Tuesday, исправив более 400 уязвимостей, включая активно эксплуатируемую уязвимость нулевого дня. Уязвимость CVE-2026-68820 связана с использованием памяти после освобождения (use-after-free) в драйвере Ancillary Function Driver (afd.sys) и позволяет атакующему с локальной аутентификацией повысить привилегии до уровня SYSTEM. Компания также обратила внимание на две другие публично раскрытые уязвимости, которые, по её мнению, могут быть использованы в атаках.

Microsoft выявила кампанию TerminalFix, распространяющую Python-туннель

Microsoft Threat Intelligence выявила кампанию социальной инженерии TerminalFix, развертывающую кастомный Python-имплант обратного туннеля, предоставляющий злоумышленникам доступ к внутренним сетям. Кампания использует поддельные CAPTCHA Cloudflare на скомпрометированных сайтах, чтобы заставить жертв вставлять команды в Windows Terminal или PowerShell. Вредоносное ПО скрывает свою активность через DLL sideloading и стеганографию, обеспечивая персистентность и полный SOCKS-прокси доступ.