BigDiskBuster blocca gli aggiornamenti di Microsoft Defender
Un nuovo bloccante degli aggiornamenti di Microsoft Defender chiamato BigDiskBuster riempie il disco di sistema di Windows in modo che il software antivirus non possa scaricare aggiornamenti di piattaforma o di firma. Lo strumento proof-of-concept è stato pubblicato su GitHub il 19 settembre da Abdelhamid Naceri, ex ricercatore di sicurezza Microsoft. Microsoft non ha rilasciato una patch, un identificatore CVE o un avviso per questa tecnica.
BigDiskBuster controlla il disco C:\ per la presenza di nuove directory nei percorsi di aggiornamento di Defender. Quando Defender inizia a scaricare un aggiornamento di piattaforma o di definizione, lo strumento crea un file temporaneo nascosto di dimensioni tali da occupare tutto lo spazio libero rimanente, e l'aggiornamento fallisce. Una volta che l'aggiornamento fallisce e Defender rimuove la sua directory di staging, lo strumento elimina il file e attende il tentativo successivo. Apre inoltre un handle su MRT.exe, lo Windows Malicious Software Removal Tool, in modo da bloccare la sostituzione di quel file da parte di Windows Update. Gli aggiornamenti di firma, chiamati anche aggiornamenti di definizione, sono i file che indicano a Microsoft Defender come riconoscere nuovi malware. Quando questi aggiornamenti vengono bloccati, Defender continua a funzionare, ma il suo contenuto di rilevamento diventa obsoleto. Lo screenshot del ricercatore mostra Defender che restituisce un errore generico di Windows durante il tentativo di aggiornamento, ma se il fallimento generi un avviso automatico non è chiaro dal solo proof-of-concept.
Naceri descrive lo strumento come "un po' buggato e bisognoso di alcune riscritture" e afferma che sembra funzionare su tutte le versioni supportate di Windows. Nessun ricercatore indipendente ha confermato il comportamento dichiarato. Definisce BigDiskBuster "simile a UnDefend", una vulnerabilità di denial-of-service di Defender che ha divulgato ad aprile e che bloccava gli aggiornamenti di definizione attraverso un metodo diverso. Microsoft ha corretto quella precedente vulnerabilità a maggio come CVE-2026-45498 nella versione 4.18.26040.7 della Piattaforma Antimalware.
Naceri ha dichiarato di essere stato licenziato dal Microsoft Security Response Center nel 2024 e da aprile rilascia exploit senza coordinarsi con l'azienda. I suoi primi tre strumenti per Defender, BlueHammer, RedSun e UnDefend, sono stati tutti sfruttati in intrusioni reali prima che Microsoft li correggesse. CISA, la Cybersecurity and Infrastructure Security Agency statunitense, ha aggiunto tutti e tre al suo catalogo delle vulnerabilità note sfruttate. Da allora ha divulgato ulteriori vulnerabilità di Defender e Windows con cadenza più o meno mensile.
I due strumenti funzionano in modo diverso. UnDefend sfruttava un consumo incontrollato di risorse, mentre BigDiskBuster riempie il disco in modo che le directory di aggiornamento di Defender non possano crescere. Non è stabilito se la patch di maggio copra anche questa nuova tecnica, e il meccanismo diverso suggerisce di no.
Non esiste alcuna patch o soluzione alternativa del fornitore per BigDiskBuster. Gli amministratori possono verificare che le firme e la versione della piattaforma di Defender siano aggiornate tramite Sicurezza di Windows, in Protezione da virus e minacce, poi Aggiornamenti di protezione, quindi Verifica aggiornamenti. In PowerShell, lo strumento da riga di comando di Microsoft per l'amministrazione di Windows, il comando Get-MpComputerStatus mostra le versioni correnti nei campi AMEngineVersion e AMProductVersion. Il monitoraggio di ripetuti fallimenti di aggiornamento di Defender, di uno spazio su disco persistentemente basso sul volume di sistema e di grandi file nascosti nelle directory temporanee aiuterebbe a rilevare la tecnica. Limitare l'esecuzione di binari sconosciuti tramite Windows Defender Application Control (WDAC) o AppLocker limiterebbe la capacità di un attaccante di eseguire lo strumento. Per i team che gestiscono server Windows o endpoint di ufficio che devono mantenere Defender aggiornato, AEU-I fornisce consulenza IT e infrastrutturale orientata alla sicurezza che può aiutare a rivedere il monitoraggio degli aggiornamenti e i controlli sugli endpoint.