一种零日概念验证工具于9月19日在GitHub上发布，该工具通过填满所有可用磁盘空间来阻止Microsoft Defender安装平台和签名更新。
该工具名为BigDiskBuster，没有补丁，没有CVE，也没有Microsoft的公告。其作者Abdelhamid Naceri是一位前Microsoft安全研究员，他早期的Defender漏洞曾被用于攻击。
当更新被阻止时，Defender仍然在运行，但其检测内容会变得过时。研究人员的截图显示，当尝试更新时，Defender返回一个通用的Windows错误，但从概念验证中并不清楚失败是否会引发自动警报。
Naceri表示，他在2024年被Microsoft的安全响应中心解雇，自4月以来一直在没有与公司协调的情况下发布漏洞利用工具。
他的前三个Defender工具——BlueHammer、RedSun和UnDefend——在Microsoft修补之前都在实际入侵中被利用，CISA也将这三者添加到其已知被利用漏洞目录中。此后，他每月大约披露一次额外的Defender和Windows漏洞。
BigDiskBuster监视C:\驱动器中Defender更新路径下的新目录。当Defender开始下载平台或定义更新时，该工具会创建一个大小填满所有剩余可用空间的隐藏临时文件，导致更新失败。
一旦更新失败并且Defender删除其暂存目录，该工具会删除该文件并等待下一次尝试。它还以一种阻止Windows Update替换MRT.exe（Windows恶意软件删除工具）的方式打开一个句柄。
Naceri将该工具描述为“有点bug，需要一些重写”，并表示它似乎在所有受支持的Windows版本上都能工作。尚无独立研究人员确认其声称的行为。
Naceri称BigDiskBuster“类似于UnDefend”，这是他在4月披露的一个Defender拒绝服务漏洞，通过不同的方法阻止定义更新。Microsoft在5月将其修补为CVE-2026-45498，适用于反恶意软件平台版本4.18.26040.7。
这两个工具的工作原理不同。UnDefend使用不受控制的资源消耗，而BigDiskBuster则填满磁盘，以至于Defender的更新目录无法增长。5月的补丁是否也涵盖了这种新技术尚未确定，而不同的机制表明它可能不涵盖。
Defender应采取的措施
目前没有针对BigDiskBuster的补丁或供应商解决方法。
管理员可以通过Windows安全中心下的病毒和威胁防护，然后是保护更新，再检查更新，来检查Defender的签名和平台版本是否为最新。在PowerShell中，Get-MpComputerStatus显示AMEngineVersion和AMProductVersion字段中的当前版本。
监控Defender更新失败的重复情况、系统卷上持续的低磁盘空间以及临时目录中的大隐藏文件将有助于检测该技术。通过WDAC或AppLocker限制未知二进制文件的执行将限制攻击者运行该工具的能力。
觉得这篇文章有趣吗？请在Google新闻、Twitter和LinkedIn上关注我们，以阅读我们发布的更多独家内容。