O pesquisador de segurança MSNightmare, também conhecido como Nightmare-Eclipse, divulgou o BigDiskBuster, uma técnica de prova de conceito de negação de serviço projetada para impedir que o Microsoft Defender Antivírus conclua atualizações de plataforma e de inteligência de segurança. O projeto é apresentado como sucessor do UnDefend. O pesquisador afirma que a técnica funciona em todas as versões suportadas do Windows, embora o código experimental ainda apresente falhas e a compatibilidade não tenha sido verificada de forma independente.
Técnica combina esgotamento de disco e bloqueio de arquivos
O BigDiskBuster não desliga o Defender diretamente. Em vez disso, ele monitora o volume C: em busca de alterações envolvendo os diretórios de Atualizações de Plataforma e Definições do Defender. Quando um novo diretório de atualização aparece, o programa verifica a capacidade de disco disponível e cria um arquivo oculto com exclusão ao fechar no diretório temporário do usuário, solicitando todo o espaço livre restante. Se arquivos forem modificados ou removidos durante a tentativa de atualização, threads de trabalho adicionais tentam recuperar a capacidade recém-liberada, privando repetidamente o instalador de armazenamento. A prova de conceito também abre o binário da Ferramenta de Remoção de Software Malicioso do Windows, MRT.exe, com permissões de compartilhamento restritivas, o que pode impedir que outro processo obtenha acesso de gravação ou exclusão enquanto o identificador permanece aberto. Juntos, o esgotamento de disco e o bloqueio de arquivos interferem nas operações de preparação, instalação e reversão da atualização. Quando o diretório de atualização monitorado desaparece, o programa interpreta esse evento como uma atualização falha, fecha seus identificadores de arquivo temporário e libera o espaço em disco alocado.
Captura de tela mostra falha na atualização de definições
Uma captura de tela fornecida com a divulgação mostra o Windows Security relatando “Falha na atualização de definição de proteção”, código de erro 0x80070643, e um erro fatal de instalação enquanto o console registra o BigDiskBuster detectando uma atualização e alocando arquivos temporários. Isso demonstra o teste do pesquisador, não uma confirmação independente. O erro 0x80070643 também é uma falha genérica de instalação com várias causas possíveis, portanto, defensores não devem tratar esse código isoladamente como prova de exploração.
Impacto de segurança e recomendações de detecção
O impacto de segurança é significativo porque o Defender depende de atualizações separadas de inteligência de segurança, mecanismo e plataforma. A Microsoft afirma que os pacotes de inteligência entregam conteúdo de detecção atual, enquanto as versões de plataforma e mecanismo mantêm os componentes suportados do antivírus. Bloquear esses canais pode deixar um endpoint executando proteção aparentemente ativa enquanto sua capacidade de reconhecer malware emergente se deteriora gradualmente. Administradores devem monitorar colapsos de espaço livre, arquivos ocultos incomuns criados em diretórios Temp de usuários, identificadores persistentes para MRT.exe e falhas repetidas de atualização do Defender. A Microsoft documenta eventos de atualização em Applications and Services Logs, sob Microsoft, Windows, Windows Defender, Operational; o Event ID 2000 registra uma atualização de assinatura bem-sucedida, tornando a ausência de sucessos e falhas recorrentes sinais úteis de caça.
Validação e resposta a incidentes
Como o repositório descreve uma prova de conceito experimental, as organizações devem evitar tratar cada erro de atualização do Defender como um ataque. É recomendável validar hosts afetados, preservar telemetria de processos e identificadores de arquivo, encerrar o processo suspeito, recuperar a capacidade de disco e forçar uma atualização confiável. A Microsoft suporta atualizações por meio do Windows Update, WSUS, aplicativo Windows Security e MpCmdRun.exe; sistemas comprometidos também devem receber uma revisão mais ampla de resposta a incidentes.
