Дослідники Check Point Research продемонстрували метод використання легітимного драйвера BTR.sys, що входить до складу антивірусу Microsoft Defender. Цей файл призначений для очищення системи від заблокованих загрози під час перезавантаження Windows. Оскільки драйвер є стандартним компонентом системи від Windows 7 до Windows 11 25H2, він володіє найвищим рівнем привілеїв ядра і не може бути заблокований системними списками обмежень.

За наявності адміністративних прав нападники можуть сформувати зашифровані конфігураційні команди для BTR.sys. Під час перезапуску комп’ютера драйвер спрацьовує до запуску основних захисних служб, що дозволяє безперешкодно видаляти будь-які системні файли антивірусів, включаючи самі модулі Microsoft Defender. Фахівці зазначають, що випадків реального використання цієї техніки наразі не зафіксовано.