Инструмент нулевого дня, представляющий собой proof-of-concept, который останавливает Microsoft Defender от установки обновлений платформы и сигнатур, заполняя все доступное дисковое пространство, был опубликован на GitHub 19 сентября.
Инструмент, названный BigDiskBuster, не имеет патча, CVE и официального уведомления от Microsoft. Его автор, Абдельхамид Насери, является бывшим исследователем безопасности Microsoft, чьи предыдущие уязвимости Defender использовались в атаках.
Когда обновления блокируются, Defender продолжает работать, но его содержимое для обнаружения устаревает. Скриншот исследователя показывает, что Defender возвращает общее сообщение об ошибке Windows при попытке обновления, но неясно, вызывает ли сбой автоматическое предупреждение только по proof-of-concept.
Насери заявил, что его уволили из Центра реагирования на безопасность Microsoft в 2024 году, и с апреля он выпускает эксплойты без координации с компанией.
Его первые три инструмента для Defender — BlueHammer, RedSun и UnDefend — все были использованы в реальных вторжениях до того, как Microsoft выпустила патчи, и CISA добавила все три в свой каталог известных эксплуатируемых уязвимостей. С тех пор он ежемесячно раскрывает дополнительные уязвимости Defender и Windows.
BigDiskBuster отслеживает диск C:\ на предмет новых каталогов в путях обновления Defender. Когда Defender начинает загружать обновление платформы или определения, инструмент создает скрытый временный файл, размер которого соответствует оставшемуся свободному пространству, и обновление завершается неудачей.
Как только обновление завершается неудачей и Defender удаляет свой временный каталог, инструмент удаляет файл и ждет следующей попытки. Он также открывает дескриптор на MRT.exe, инструменте удаления вредоносного ПО Windows, таким образом, что это блокирует обновление Windows от его замены.
Насери описывает инструмент как "немного с ошибками и нуждающимся в переписывании" и говорит, что он, похоже, работает на всех поддерживаемых версиях Windows. Ни один независимый исследователь не подтвердил заявленное поведение.
Насери называет BigDiskBuster "похожим на UnDefend," уязвимость отказа в обслуживании Defender, которую он раскрыл в апреле и которая блокировала обновления определения другим методом. Microsoft исправила это в мае как CVE-2026-45498 в версии платформы Antimalware 4.18.26040.7.
Оба инструмента работают по-разному. UnDefend использовал неконтролируемое потребление ресурсов, в то время как BigDiskBuster заполняет диск, чтобы каталоги обновлений Defender не могли расти. Не установлено, охватывает ли майский патч эту новую технику, и различный механизм предполагает, что это не так.
Что должны делать защитники
Не существует патча или обходного решения от поставщика для BigDiskBuster.
Администраторы могут проверить, что сигнатуры и версия платформы Defender актуальны через Безопасность Windows в разделе Защита от вирусов и угроз, затем Обновления защиты, затем Проверка обновлений. В PowerShell команда Get-MpComputerStatus показывает текущие версии в полях AMEngineVersion и AMProductVersion.
Мониторинг повторяющихся сбоев обновления Defender, устойчиво низкого свободного места на системном томе и больших скрытых файлов в временных каталогах поможет обнаружить технику. Ограничение выполнения неизвестных бинарных файлов через WDAC или AppLocker ограничит возможность злоумышленника запускать инструмент.
Нашли эту статью интересной? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.