19 сентября на GitHub был опубликован инструмент «доказательства концепции» уязвимости «нулевого дня», который блокирует установку обновлений платформы и сигнатур Microsoft Defender, заполняя всё доступное дисковое пространство.
Утилита, получившая название BigDiskBuster, не имеет патча, номера CVE и рекомендаций от Microsoft. Её автор, Абдельхамид Насери, — бывший исследователь в области безопасности Microsoft, чьи предыдущие эксплойты для Defender использовались в атаках.
Когда обновления заблокированы, Defender продолжает работать, но его базы данных обнаружения устаревают. На скриншоте исследователя видно, что при попытке обновления Defender выдает общую ошибку Windows, однако из одного только доказательства концепции неясно, вызывает ли эта ошибка автоматическое оповещение.
Насери сообщил, что в 2024 году его уволили из Центра реагирования на угрозы безопасности Microsoft (Security Response Center), и с апреля он публикует эксплойты без согласования с компанией.
Его первые три инструмента, направленные против Defender — BlueHammer, RedSun и UnDefend — были использованы в реальных взломах до того, как Microsoft исправила эти уязвимости, а CISA добавила все три в свой каталог «Известных эксплуатируемых уязвимостей». С тех пор он примерно ежемесячно раскрывает новые уязвимости Defender и Windows.
BigDiskBuster отслеживает диск C:\ на наличие новых каталогов в путях обновлений Defender. Когда Defender начинает загрузку обновления платформы или определений, инструмент создаёт скрытый временный файл, размер которого заполняет всё оставшееся свободное место, в результате чего обновление завершается сбоем.
Как только обновление завершается сбоем и Defender удаляет свой промежуточный каталог, утилита удаляет файл и ждёт следующей попытки. Она также открывает дескриптор для MRT.exe — утилиты Windows для удаления вредоносного ПО — таким образом, чтобы Windows Update не смог его заменить.
Насери описывает утилиту как «немного глючную и требующую доработки» и отмечает, что, по-видимому, она работает на всех поддерживаемых версиях Windows. Ни один независимый исследователь не подтвердил заявленное поведение.
Насери называет BigDiskBuster «похожим на UnDefend» — уязвимость Defender, приводящую к отказу в обслуживании, которую он раскрыл в апреле и которая блокировала обновления определений с помощью другого метода. Microsoft исправила эту уязвимость в мае под номером CVE-2026-45498 в версии Antimalware Platform 4.18.26040.7.
Эти два инструмента работают по-разному. UnDefend использовал неконтролируемое потребление ресурсов, тогда как BigDiskBuster заполняет диск, не давая каталогам обновлений Defender увеличиваться. Неясно, распространяется ли майский патч также на эту новую технику, и различие в механизме действия позволяет предположить, что нет.
Для BigDiskBuster не существует ни исправления, ни обходного решения от поставщика.
Администраторы могут проверить актуальность сигнатур Defender и версии платформы в разделе «Безопасность Windows» в разделе «Защита от вирусов и угроз», затем «Обновления защиты», а затем «Проверить наличие обновлений». В PowerShell команда Get-MpComputerStatus отображает текущие версии в полях AMEngineVersion и AMProductVersion.
Мониторинг повторяющихся сбоев при обновлении Defender, постоянной нехватки места на системном томе и наличия больших скрытых файлов во временных каталогах поможет обнаружить эту технику. Ограничение запуска неизвестных двоичных файлов с помощью WDAC или AppLocker ограничит возможности злоумышленника запустить этот инструмент.