Ciberseguridad · 26 de agosto de 2026 · 9 min de lectura
Cuando la defensa se convierte en una herramienta de ataque: controlador de Microsoft Defender
Durante años, una parte importante de la ciberseguridad se ha construido alrededor de una premisa sencilla: mantener actualizado el software, corregir vulnerabilidades conocidas y bloquear herramientas maliciosas.
El problema no siempre está en una vulnerabilidad
Durante años, una parte importante de la ciberseguridad se ha construido alrededor de una premisa sencilla: mantener actualizado el software, corregir vulnerabilidades conocidas y bloquear herramientas maliciosas.
Pero las investigaciones más recientes están mostrando que existen escenarios mucho más complejos.
Check Point Research presentó una técnica denominada BTR Reforged, capaz de utilizar el controlador BTR.sys (Boot Time Removal Tool), un componente legítimo asociado a Microsoft Defender, para ejecutar determinadas operaciones con privilegios de kernel durante el proceso de arranque de Windows.
Lo llamativo es que el escenario no depende de instalar un controlador externo ni de explotar una vulnerabilidad de software recién descubierta.
El componente ya forma parte del ecosistema de Windows.
BTR.sys tiene una función legítima: ayudar a Microsoft Defender a completar la eliminación de malware que no puede ser eliminado mientras el sistema operativo está funcionando. Para ello, puede programar determinadas operaciones para ejecutarlas durante el siguiente reinicio, cuando algunos archivos y componentes todavía no están protegidos por los servicios habituales de seguridad.
Ese mecanismo diseñado para remediar una amenaza es precisamente el que los investigadores analizaron desde una perspectiva ofensiva.
Y ahí aparece el verdadero riesgo.
Una herramienta legítima con capacidades privilegiadas
BTR.sys opera a un nivel extremadamente privilegiado dentro de Windows. Según la investigación, puede realizar operaciones sobre archivos y determinadas estructuras del registro que normalmente estarían protegidas mientras el sistema está funcionando.
En condiciones normales, estas capacidades existen para que Defender pueda completar una limpieza que requiere reiniciar el equipo.
El problema aparece cuando un atacante que ya posee privilegios administrativos consigue controlar ese mecanismo.
La investigación demostró que BTR.sys puede utilizarse para realizar acciones como eliminar archivos bloqueados, mover archivos, modificar determinadas entradas del registro y preparar operaciones para ejecutarlas durante el siguiente arranque.
Esto abre una posibilidad especialmente preocupante para la defensa de endpoints: utilizar el propio mecanismo de remediación del sistema para interferir con las herramientas encargadas de detectar y bloquear al atacante.
Durante una demostración realizada en Black Hat USA 2026, los investigadores mostraron cómo esta técnica podía utilizarse para eliminar componentes de Microsoft Defender en una instalación actualizada de Windows 11 25H2, incluso con la protección contra manipulaciones activada.
La denominada “ventana dorada”
Uno de los aspectos más interesantes de la investigación es el momento en que se produce la operación.
Check Point Research identifica una etapa del proceso de arranque como una especie de “ventana dorada”: un intervalo en el que determinadas operaciones sobre el sistema de archivos ya son posibles, pero los servicios de seguridad en modo usuario todavía no han iniciado completamente.
En ese momento, BTR.sys puede ejecutar las operaciones programadas antes de que determinados componentes de Defender puedan intervenir.
La diferencia es importante.
No estamos hablando simplemente de detener un proceso de seguridad desde Windows. La técnica aprovecha una fase anterior del arranque para realizar operaciones desde un contexto privilegiado.
Esto cambia completamente la perspectiva defensiva.
Un endpoint puede tener antivirus, EDR, protección contra manipulaciones y políticas de seguridad correctamente configuradas y, aun así, una cadena de ataque que ya haya alcanzado privilegios administrativos podría intentar utilizar mecanismos legítimos del propio sistema para reducir esas defensas.
¿Es una nueva vulnerabilidad?
Aquí es donde el hallazgo requiere cierta precisión.
Check Point Research señala que BTR Reforged no corresponde a una vulnerabilidad tradicional.
No existe, según la investigación presentada, un fallo de seguridad que permita a un atacante remoto sin privilegios tomar control del sistema.
La técnica requiere una condición previa especialmente importante: el atacante debe contar con privilegios administrativos y con SeLoadDriverPrivilege.
Por eso, Microsoft no clasificó el hallazgo como una vulnerabilidad que requiriera una corrección inmediata.
La diferencia puede parecer semántica, pero desde el punto de vista de la defensa es fundamental.
El escenario demuestra qué puede hacer un atacante después de haber superado determinadas barreras de seguridad.
El desafío entonces deja de ser únicamente impedir la intrusión inicial y pasa a ser impedir que un atacante con privilegios consolide su posición, desactive controles, manipule el endpoint y mantenga persistencia.
El problema de confiar demasiado en los componentes legítimos
La técnica también pone en perspectiva una tendencia que ya se observa en diferentes ataques conocidos.
Los ciberdelincuentes no siempre necesitan introducir software completamente desconocido en una organización.
En ocasiones pueden aprovechar herramientas, controladores y funcionalidades que ya forman parte del sistema operativo.
Esto dificulta la detección.
Un archivo legítimamente firmado por Microsoft puede parecer confiable. Un proceso iniciado por el sistema puede parecer normal. Una modificación relacionada con un servicio puede no levantar inmediatamente las mismas alertas que generaría un ejecutable desconocido.
El desafío consiste entonces en detectar el comportamiento y el contexto, no solamente la identidad del archivo.
Esta idea es especialmente relevante en estrategias modernas de protección de endpoints, donde el análisis debe considerar quién ejecuta una acción, con qué privilegios, en qué momento y qué otros eventos están ocurriendo simultáneamente.
Del antivirus al comportamiento del endpoint
El caso BTR.sys también refleja cómo ha cambiado el concepto de protección de endpoints.
Durante mucho tiempo, la pregunta principal era si un archivo era malicioso o no.
Hoy esa pregunta resulta insuficiente.
Un sistema puede utilizar componentes legítimos para realizar acciones que, dependiendo del contexto, sean completamente normales o formen parte de una cadena de ataque.
Por eso, la visibilidad sobre el endpoint adquiere una importancia cada vez mayor.
Eventos de carga de controladores, modificaciones del registro, creación y eliminación de archivos durante el arranque o asignación de privilegios especiales pueden convertirse en señales relevantes cuando aparecen combinadas de una determinada manera.
Check Point Research identificó precisamente varios indicadores que podrían ayudar a detectar un posible abuso de BTR.sys mediante eventos de Sysmon y Windows.
La investigación menciona, entre otros elementos, la creación de determinados flujos asociados a archivos .sys, modificaciones de claves de servicios, actividad sobre BootClean.log y determinadas secuencias de carga y eliminación de controladores atribuidas al proceso del sistema.
La conclusión defensiva es clara: la telemetría del endpoint puede ser tan importante como la herramienta que intenta protegerlo.
Una lección conocida: BYOVD evoluciona
El caso también recuerda a una técnica ampliamente conocida en el mundo de la ciberseguridad: Bring Your Own Vulnerable Driver (BYOVD).
En estos ataques, los adversarios utilizan controladores legítimos, normalmente de terceros, que contienen vulnerabilidades conocidas para obtener capacidades privilegiadas y manipular procesos o herramientas de seguridad.
La diferencia de BTR Reforged es especialmente interesante.
En lugar de depender de un controlador vulnerable de un proveedor externo, la técnica utiliza un componente que forma parte del propio ecosistema de Windows y Microsoft Defender.
Eso dificulta aplicar una solución tradicional basada simplemente en bloquear un controlador vulnerable.
El componente tiene una función legítima y necesaria para Defender.
Bloquearlo completamente podría afectar precisamente al mecanismo que Microsoft utiliza para realizar determinadas tareas de remediación.
Por eso el caso representa un problema de arquitectura y confianza más que una simple vulnerabilidad que pueda resolverse instalando un parche.
El privilegio administrativo vuelve a estar en el centro
Existe otro aspecto que no debería perderse de vista.
La técnica no comienza desde cero.
Para aprovechar BTR.sys de la forma descrita por los investigadores, el atacante necesita haber alcanzado previamente un nivel elevado de privilegios.
Esto significa que BTR Reforged no reemplaza las técnicas tradicionales de intrusión.
Más bien puede formar parte de una cadena de ataque posterior al compromiso.
Un atacante podría comenzar mediante phishing, robo de credenciales, explotación de una vulnerabilidad, malware u otro vector de acceso. Una vez dentro y con privilegios suficientes, el objetivo cambia: mantener el acceso, reducir las capacidades de detección y dificultar la respuesta.
En ese punto, la posibilidad de manipular componentes de seguridad se convierte en un multiplicador de riesgo.
La defensa, por lo tanto, no puede depender exclusivamente del antivirus instalado en cada equipo.
Debe existir una estrategia que controle privilegios, supervise actividades administrativas y detecte comportamientos anómalos incluso cuando estos sean ejecutados mediante componentes legítimos.
¿Qué deberían revisar las organizaciones?
El hallazgo no significa que todas las instalaciones de Windows estén comprometidas ni que Microsoft Defender haya dejado de ser una herramienta segura.
Check Point Research indicó que no encontró evidencia de que esta técnica estuviera siendo utilizada activamente por ciberdelincuentes.
Precisamente por eso, el momento resulta especialmente relevante para la defensa: existe una oportunidad para generar detecciones antes de que una técnica de este tipo pueda convertirse en una herramienta habitual dentro del arsenal de los atacantes.
Las organizaciones deberían prestar especial atención a la asignación de SeLoadDriverPrivilege, evitando conceder este privilegio de forma innecesaria.
También resulta importante revisar la telemetría de endpoints, establecer mecanismos de detección para cargas y modificaciones inusuales de controladores y correlacionar eventos del sistema que, individualmente, podrían parecer legítimos.
La protección contra manipulaciones continúa siendo importante, pero debe formar parte de una arquitectura de seguridad más amplia.
Porque cuando el atacante ya tiene privilegios administrativos, el objetivo deja de ser simplemente detectar un malware.
El objetivo es impedir que pueda utilizar el propio sistema para desmontar las defensas que quedan.
La seguridad del endpoint también depende de lo que ocurre antes del ataque
El caso BTR.sys deja una conclusión especialmente interesante para las organizaciones.
La seguridad de un endpoint no se define únicamente por cuántas herramientas tiene instaladas.
Depende también de cómo están administrados sus privilegios, qué componentes pueden ejecutarse, qué eventos se registran, qué comportamiento puede ser detectado y qué tan rápido puede responder el equipo de seguridad cuando aparece una actividad fuera de contexto.
La investigación de Check Point no demuestra que Microsoft Defender sea inseguro por naturaleza.
Demuestra algo más incómodo y, al mismo tiempo, más importante: ningún control de seguridad debe considerarse aislado del resto de la arquitectura.
Un componente legítimo puede ser utilizado de una manera distinta a la prevista. Un privilegio administrativo puede convertirse en una vía para neutralizar controles. Y una acción aparentemente normal puede adquirir otro significado cuando forma parte de una cadena de ataque.
La ciberseguridad moderna exige precisamente esa capacidad de mirar más allá de la herramienta y entender qué está ocurriendo realmente dentro del entorno.
La defensa también debe anticiparse
BTR Reforged todavía no representa una campaña de ataque confirmada. Pero su valor para los defensores está precisamente en mostrar una posibilidad antes de que se convierta en una tendencia.
La pregunta ya no es solamente si una organización cuenta con antivirus, EDR o protección contra manipulaciones.
La pregunta es si puede detectar cuando alguien intenta utilizar las propias capacidades del sistema para desactivar esas defensas.
Porque en una arquitectura donde los atacantes buscan cada vez más aprovechar herramientas legítimas, proteger el endpoint significa también entender profundamente cómo funciona y detectar cuándo alguien está haciendo que se comporte de una manera que nunca debería.