마이크로소프트 디펜더 드라이버 'BTR.sys', 보안 무력화 도구로 악용 가능

체크포인트리서치가 2026년 8월 20일 블랙햇 미국과 데프콘 34에서, 윈도우 디펜더에 내장된 정상 드라이버 BTR.sys를 악용해 보안 기능 자체를 무력화할 수 있는 'BTR 리포지드(BTR Reforged)' 공격 기법을 공개했습니다. 별도의 악성 드라이버를 몰래 심을 필요 없이 마이크로소프트가 서명한 정상 드라이버만으로 커널 권한을 얻을 수 있다는 점에서 주목받고 있습니다. 그런데 마이크로소프트는 이 문제에 대해 별도의 패치 계획이 없다고 밝혀 논란이 되고 있습니다.

BTR.sys란 무엇이고 왜 위험한가

BTR.sys는 '부팅 시점 제거(Boot-Time Remediation)' 드라이버의 줄임말로, 윈도우 7 버전부터 윈도우 디펜더에 기본 내장되어 있는 마이크로소프트 서명 드라이버입니다. 원래 목적은 윈도우가 켜져 있는 동안에는 삭제할 수 없는 악성코드를 다음 부팅 시점에 안전하게 제거하는 것입니다. 문제는 이 드라이버가 커널 수준, 즉 운영체제의 가장 깊은 권한(Ring 0)에서 파일 삭제와 레지스트리 수정을 수행할 수 있다는 점인데, 체크포인트 연구진은 이 기능을 공격자가 원하는 대로 조작할 수 있음을 확인했습니다. 외부의 알려지지 않은 드라이버를 심는 기존 'BYOVD(Bring Your Own Vulnerable Driver)' 공격과 달리, 이미 시스템에 신뢰된 상태로 설치되어 있는 구성 요소를 이용한다는 점에서 탐지가 더 까다롭습니다.

공격이 실제로 어떻게 이뤄지나

연구진에 따르면 공격자가 지역 관리자 권한과 'SeLoadDriverPrivilege'라는 특정 권한을 확보하면, 디펜더 엔진 파일에서 BTR.sys 드라이버를 추출해 암호화된 설정 정보를 새로 만들고, 이를 레지스트리에 직접 등록해 다음 부팅 시 실행되도록 조작할 수 있습니다. 윈도우가 재시작되어 파일에는 접근할 수 있지만 디펜더 서비스는 아직 완전히 켜지지 않은 짧은 시간대를 노려, 디펜더의 핵심 구성 요소인 WdFilter.sys나 백신 엔진 프로세스를 미리 삭제해버리는 방식입니다. 다만 체크포인트는 자사가 확보한 원격 측정 데이터를 기준으로 아직까지 이 기법이 실제 공격에 사용된 사례는 발견되지 않았다고 밝혔습니다. 영향을 받는 범위는 윈도우 7부터 최신 윈도우 11 25H2 버전까지로 사실상 전 버전에 해당합니다.

마이크로소프트의 대응과 이용자가 할 수 있는 조치

마이크로소프트 보안대응센터(MSRC)는 이번 사안에 대해 별도의 CVE 번호를 부여하지 않았으며, 공격자가 사전에 관리자 권한을 확보해야 한다는 점에서 긴급 패치 대상은 아니라는 입장을 밝혔습니다. 이 때문에 당분간 근본적인 해결보다는 기업 스스로의 탐지·차단 체계 마련이 중요해졌습니다. 체크포인트는 시스템 모니터링 도구인 시스몬(Sysmon)을 배포해 의심스러운 드라이버 로드 패턴을 탐지하고, SeLoadDriverPrivilege 권한을 꼭 필요한 서비스 계정으로 제한하며, 지난 30일간의 부팅 드라이버 로그를 점검할 것을 권고했습니다. 아울러 로컬 관리자 비밀번호를 자동으로 관리해주는 LAPS 도입과 관리자 계정 권한을 계층별로 분리하는 것도 함께 권장했습니다.

참고 자료

• BTR Reforged: Weaponizing Defender's Remediation Driver as a Kernel Operation Primitive
• Microsoft Defender driver could be abused to disable Windows security

마무리

BTR 리포지드 공격은 외부의 악성 드라이버가 아닌 마이크로소프트가 서명한 정상 구성 요소만으로 보안 소프트웨어를 무력화할 수 있다는 점에서, 기존 보안 상식에 다시 한번 경종을 울리는 사례입니다. 아직 실공격 사례가 확인되지는 않았지만 패치 계획이 없는 만큼, 기업 보안 담당자라면 지금부터 관리자 권한 관리와 이상 드라이버 로그 모니터링 체계를 점검해 두는 것이 좋습니다. 관련 후속 소식이 있으면 계속해서 업데이트하겠습니다.