Новый zero-day BigDiskBuster блокирует обновления Windows Defender

На выходных исследователь безопасности Абдельхамид Насери, известный также под псевдонимом Nightmare Eclipse, опубликовал новый эксплойт нулевого дня для Microsoft Defender. Инструмент, названный автором BigDiskBuster, блокирует обновления встроенного антивируса Windows.

По словам Насери, BigDiskBuster близок по механике к уязвимости UnDefend, о которой он рассказал в апреле: та позволяла обычным пользователям без прав администратора запрещать загрузку определений вирусов. Новый эксплойт работает на всех поддерживаемых версиях Windows, но для блокировки обновлений должен постоянно оставаться запущенным в фоне.

«Сделал забавную штуку — она полностью запрещает Defender обновляться, так что, пока инструмент работает в фоне, вы застреваете на текущей версии», — написал исследователь. Он честно признал, что код доказательства концепции пока сыроват, местами глючит и требует переписывания, «но идея понятна».

Затянувшийся спор с Microsoft

BigDiskBuster — далеко не первый выпад Насери. С апреля 2026 года он опубликовал почти десяток эксплойтов нулевого дня в рамках конфликта с Microsoft, которую обвиняет в несправедливом увольнении в марте 2025 года. Всего две недели назад, сразу после сентябрьского «вторника обновлений», он выложил другой эксплойт для Defender — ShieldCrash, дающий права SYSTEM.

По описанию исследователя, ShieldCrash обходит уязвимость ShieldBreak, закрытую неделей ранее, которая, в свою очередь, обходила июньскую RoguePlanet, залатанную Microsoft в июле. В список его находок этого года также входят LegacyHive, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma и UnDefend — они нацелены на Microsoft Defender, BitLocker и другие компоненты Windows.

Microsoft поначалу отреагировала предупреждениями о возможных судебных исках против всех, кто ведёт «вредоносную деятельность, наносящую реальный ущерб» клиентам компании. Многие в отрасли восприняли это как прямую угрозу в адрес исследователя. Часть уязвимостей (ShieldBreak, RoguePlanet, YellowKey, GreenPlasma и MiniPlasma) компания уже устранила, но для остальных официального патча пока нет.

На запрос BleepingComputer о новом эксплойте типа «отказ в обслуживании» представитель Microsoft оперативно ответить не смог.

Источник: Bleeping Computer