--- title: Driver BTR.sys do Microsoft Defender pode apagar seguranca no boot description: Pesquisa mostra que o BTR.sys do Microsoft Defender pode executar remoções no boot do Windows 7 ao 11 25H2. Veja riscos e ações práticas nas empresas. image: https://mfa2go.com/hubfs/MFA2GO/digest/blog-temas/mfa2go-tema-vulnerabilidade.png --- [![render-mfa2go-novo-logo](https://mfa2go.com/hs-fs/hubfs/render-mfa2go-novo-logo.png?width=200&name=render-mfa2go-novo-logo.png "render-mfa2go-novo-logo")](https://mfa2go.com/) - [Soluções](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#mfa1) - [Sobre nós](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#mfa2) - [Blog](https://mfa2go.com/blog) - [Privacidade](https://mfa2go.notion.site/PPPD-Politica-de-Privacidade-e-Prote-o-de-Dados-1d614147490e80ad8f0fc43a21b1ba1b?pvs=74) - [Boas Práticas](https://mfa2go.com/10-boas-praticas-em-autenticacao-segura#mfa2) - [Meus Dados](https://na1.hs-data-privacy.com/request/18mhrrsG4aDi22bszoCxiw) - Contato ![Menu Mobile](https://mfa2go.com/hubfs/Hamburger_icon.svg.png) - [Soluções](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#mfa1) - [Sobre nós](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#mfa2) - [Blog](https://mfa2go.com/blog) - [Privacidade](https://mfa2go.notion.site/PPPD-Politica-de-Privacidade-e-Prote-o-de-Dados-1d614147490e80ad8f0fc43a21b1ba1b?pvs=74) - [Boas Práticas](https://mfa2go.com/10-boas-praticas-em-autenticacao-segura#mfa2) - [Meus Dados](https://na1.hs-data-privacy.com/request/18mhrrsG4aDi22bszoCxiw) - Contato [Voltar ao início do blog](https://mfa2go.com/blog) # Driver BTR.sys do Microsoft Defender pode apagar seguranca no boot 21 de agosto de 2026 [MFA2GO](https://mfa2go.com/blog/author/mfa2go) ![](https://mfa2go.com/hubfs/MFA2GO/digest/blog-temas/mfa2go-tema-vulnerabilidade.png) Vulnerabilidade # Microsoft Defender: reduza o risco do BTR.sys Driver legítimo pode ser usado no boot para remover arquivos e registros críticos do Windows. ![Driver BTR.sys do Microsoft Defender pode apagar seguranca no boot](https://mfa2go.com/hubfs/MFA2GO/digest/blog-temas/mfa2go-tema-vulnerabilidade.png) ### Navegacao [O que foi descoberto](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#sec-0)[Como o BTR.sys funciona](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#sec-1)[Sinais de alerta](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#sec-2)[O que fazer agora](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#sec-3)[Checklist pratico](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#sec-4) ### Resumo rapido A Check Point Research mostrou como o BTR.sys, driver legítimo do Microsoft Defender, pode ser direcionado para executar operações profundas no Microsoft Windows durante a inicialização. A técnica não explora falha de software nem exige trazer um driver de fora da máquina. Até a publicação, os pesquisadores afirmam não ter visto uso real por criminosos. ### Neste artigo voce vai aprender: - O que é o BTR.sys dentro do Microsoft Defender. - Por que o risco acontece no momento do boot. - Quais versões do Microsoft Windows entram no escopo citado. - Que sinais merecem atenção em ambientes corporativos. - Quais ações práticas reduzem exposição e impacto. ## O que foi descoberto A Check Point Research divulgou uma técnica que envolve o **BTR.sys**, conhecido como Boot Time Removal Tool, componente legítimo do Microsoft Defender. Ele existe para permitir que o Defender conclua remoções de malware depois de reiniciar o computador, quando arquivos ou chaves de registro estavam bloqueados durante o uso normal do Microsoft Windows. O problema é que esse mesmo recurso pode ser direcionado para executar operações arbitrárias em nível muito profundo, atingindo arquivos e registros. O escopo citado vai do Microsoft Windows 7 ao Microsoft Windows 11 25H2. A pesquisa foi apresentada por Jiří Vinopal, da Check Point Research, na Black Hat USA 2026 e na DEF CON 34. ## Como o BTR.sys funciona O BTR.sys entra em ação antes de o Microsoft Windows terminar de carregar. Esse instante é privilegiado: parte dos arquivos ainda não está em uso, o que permite ao Microsoft Defender finalizar limpezas impossíveis com o sistema em operação. Poder de escrita nesse estágio significa poder de apagar praticamente qualquer coisa. Os pesquisadores analisaram o protocolo usado para enviar instruções ao driver. Segundo eles, os blocos de configuração são protegidos com RC4 e uma chave fixa de 256 bytes presente no próprio BTR.sys, que permaneceu idêntica em 18 versões de 64 bits verificadas desde o Microsoft Windows 7. A prova de conceito, batizada de BTR\_CLI, localiza o MpEngine.dll nas atualizações de definição do Defender, extrai o BTR.sys embutido e monta uma transação que o driver aceita como legítima. ## Sinais de alerta A fonte informa que não houve evidência de uso real dessa técnica em ataques. Ainda assim, dá para se preparar antes que alguém transforme a pesquisa em ferramenta ofensiva. Os pontos de atenção incluem: - remoção inesperada de ferramentas de segurança logo após reinicializações; - mudanças incomuns em arquivos e registros no período de boot; - presença ou execução de ferramentas desconhecidas interagindo com componentes do Defender; - alterações sem explicação em diretórios de atualizações de definição do Microsoft Defender; - estações que perdem proteção depois de reiniciar, sem nenhuma ação planejada pela equipe de TI. ## O que fazer agora Como o BTR.sys é um componente necessário do Microsoft Defender, a própria pesquisa alerta que bloqueá-lo por listas de drivers vulneráveis ou por WDAC pode quebrar o funcionamento do Defender. A resposta correta passa por controle de privilégios, visibilidade e investigação rápida, não por bloqueio automático. - Revise quem tem privilégios administrativos em estações Microsoft Windows. - Monitore mudanças em arquivos e registros críticos durante reinicializações. - Crie um processo para validar qualquer remoção de software de segurança após o boot. - Investigue computadores em que o Microsoft Defender ou outro agente de proteção pare de funcionar sem chamado interno. - Mantenha inventário atualizado das versões do Microsoft Windows e do Microsoft Defender no ambiente. ## Checklist pratico 1. Mapeie máquinas com Microsoft Windows 7 até Microsoft Windows 11 25H2 e priorize ativos críticos. 2. Reduza privilégios administrativos e revise ferramentas que podem rodar antes ou durante o boot. 3. Configure alertas internos para remoção ou desativação inesperada de softwares de segurança. 4. Compare eventos antes e depois de reinicializações quando houver perda de proteção. 5. Inclua o BTR.sys e o MpEngine.dll nas rotinas de investigação, sem bloquear componentes legítimos às cegas. ## Perguntas frequentes ### Isso significa que o Microsoft Defender foi invadido? Não. A pesquisa descreve o abuso de um componente legítimo. O material afirma que nenhuma falha de software foi explorada e que não há evidência de uso real em ataques até o momento. ### Posso bloquear o BTR.sys? A fonte indica que o BTR.sys é exigido pelo Microsoft Defender. Bloqueá-lo por lista de drivers ou WDAC pode prejudicar o próprio Defender, então a recomendação prática é monitorar e controlar o uso, sem bloqueio sem avaliação. ### Quem deve se preocupar mais? Ambientes corporativos com muitas estações Microsoft Windows, sobretudo onde há grande número de administradores locais ou pouca visibilidade sobre o que muda no boot, devem tratar o tema como prioridade de detecção. ### Proteja sua empresa com a MFA2GO A MFA2GO ajuda sua empresa a reduzir riscos de acesso indevido, controlar privilégios e fortalecer a autenticação em ambientes Microsoft Windows e aplicações críticas. [Falar com especialista](https://mfa2go.com/#contato) Conheca: [Cofre Corporativo de MFA](https://mfa2go.com/cofre-corporativo-de-mfa), [Gestao de Acesso](https://mfa2go.com/gestao-de-acesso), [Autenticacao Forte](https://mfa2go.com/autenticacao-forte). mfa2go.com **Fontes:** [https://thehackernews.com/2026/08/microsoft-defenders-own-driver-can-be.html](https://thehackernews.com/2026/08/microsoft-defenders-own-driver-can-be.html) ### Receba as principais noticias de ciberseguranca Inscreva-se em nossa newsletter e receba artigos, alertas de vulnerabilidades e tendencias diretamente no seu email. Inscrever-se ### Compartilhe nas redes sociais: ![LinkedIn](https://mfa2go.com/hubfs/raw_assets/public/Website-MFA2GO/css/images/mfa2go_linkedin.svg) ![WhatsApp](https://mfa2go.com/hubfs/raw_assets/public/Website-MFA2GO/css/images/mfa2go_whats.svg) ![Facebook](https://mfa2go.com/hubfs/raw_assets/public/Website-MFA2GO/css/images/mfa2go_facebook.svg) ![X](https://mfa2go.com/hubfs/raw_assets/public/Website-MFA2GO/css/images/mfa2go_x.svg) ### Cadastre-se em nossa Newsletter semanal\* ### **Autenticação multifator e criptografia** de ponta a ponta é com a MFA2GO [CONHEÇA A MFA2GO](https://mfa2go.com/) ## Conteúdos relacionados [![render-mfa2go-novo-logo](https://mfa2go.com/hs-fs/hubfs/render-mfa2go-novo-logo.png?width=250&height=250&name=render-mfa2go-novo-logo.png "render-mfa2go-novo-logo")](https://mfa2go.com/) ![telefone_mfa2go](https://mfa2go.com/hubfs/telefone_mfa2go.svg) (11) 94561-4407 ![email_mfa2go](https://mfa2go.com/hubfs/raw_assets/public/Website-MFA2GO/css/images/email_mfa2go.svg) contato@mfa2go.com ![localizacao_mfa2go](https://mfa2go.com/hubfs/raw_assets/public/Website-MFA2GO/css/images/localizacao_mfa2go.svg) Rua Teodoro Sampaio, 744, CJ 108 - Pinheiros | São Paulo - SP, 05406-000 - [Soluções](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#mfa1) - [Sobre nós](https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400#mfa2) - [Blog](https://mfa2go.com/blog) - [Privacidade](https://mfa2go.notion.site/PPPD-Politica-de-Privacidade-e-Prote-o-de-Dados-1d614147490e80ad8f0fc43a21b1ba1b?pvs=74) - [Boas Práticas](https://mfa2go.com/10-boas-praticas-em-autenticacao-segura#mfa2) - [Meus Dados](https://na1.hs-data-privacy.com/request/18mhrrsG4aDi22bszoCxiw) - Contato ![Fechar](https://mfa2go.com/hubfs/raw_assets/public/Website-MFA2GO/css/images/fechapopup-mfa2go.svg) ### O primeiro passo foi dado! Agora só falta preencher o formulário abaixo para um de nossos especialistas entrar em contato: [![original](https://mfa2go.com/hs-fs/hubfs/original.png?width=150&name=original.png "original")](https://mfa2go.com/) ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "MFA2GO", "url" : "https://mfa2go.com/blog/author/mfa2go" }, "datePublished" : "2026-08-21T22:00:12.000Z", "headline" : "Driver BTR.sys do Microsoft Defender pode apagar seguranca no boot", "image" : [ "https://mfa2go.com/hubfs/MFA2GO/digest/blog-temas/mfa2go-tema-vulnerabilidade.png" ], "mainEntityOfPage" : { "@id" : "https://mfa2go.com/blog/driver-btrsys-do-microsoft-defender-pode-apagar-seguranca-no-boot-1787270400", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://mfa2go.com/hubfs/render-mfa2go-novo-logo.png" }, "name" : "MFA2GO" } } ```