Исследователь под псевдонимом NightmareEclipse, регулярно раскрывающий уязвимости нулевого дня в продуктах Microsoft, представил новый способ вмешательства в работу Microsoft Defender — эксплойт блокирует автоматическое обновление антивируса.
Инструмент получил название BigDiskBuster. По словам автора, это аналог ранее выпущенной утилиты UnDefend, работающий на всех поддерживаемых версиях Windows, хотя текущая версия «функционирует с ошибками и требует доработки».
«Создал забавный инструмент — он полностью блокирует обновление Defender, так что у вас остаётся текущая версия программы, пока утилита работает в фоновом режиме», — написал исследователь.
Механизм не отключает Defender полностью. Утилита дожидается начала процесса обновления и заполняет диск временными скрытыми файлами так, чтобы для завершения установки не хватило свободного места.
При необходимости запускаются дополнительные потоки для захвата большего пространства. Как только фиксируется сбой обновления, файлы закрываются и место освобождается.
Кроме того, BigDiskBuster открывает исполняемый файл MRT.exe — средство Microsoft для удаления вредоносных программ — и блокирует доступ других процессов к нему, пока открыт дескриптор.
В итоге, пока работает утилита, Defender вынужден использовать текущие версии модулей и устаревшие базы сигнатур. На скриншоте эксперта видно, что обновление завершается с ошибкой 0x80070643 — это стандартная ошибка установки, которая сама по себе не доказывает связь со сбоем именно из-за BigDiskBuster.
Работа с неактуальными базами крайне нежелательна: антивирус продолжает функционировать, но теряет способность распознавать недавно обнаруженные угрозы.
Ранее NightmareEclipse сообщал о более опасных уязвимостях Windows. Новый эксплойт мешает выполнению одной из базовых функций антивируса — автоматическому обновлению. Независимые эксперты пока не подтвердили работоспособность BigDiskBuster.