پژوهشگر امنیتی معروف به NightmareEclipse (عبدالحمید ناصری)، یک کد اثبات مفهوم (PoC) جدید به نام BigDiskBuster منتشر کرده است که هدف آن جلوگیری از نصب به‌روزرسانی‌های پلتفرم و Security Intelligence در آنتی‌ویروس Microsoft Defender است.
مکانیسم عملکرد BigDiskBuster
برخلاف بسیاری از ابزارهای حمله، این ابزار باعث غیرفعال شدن کامل Defender نمی‌شود، بلکه با یک استراتژی هوشمندانه، فرآیند به‌روزرسانی را مختل می‌کند. این ابزار با نظارت بر شروع فرآیند Update، اقدام به ایجاد فایل‌های موقت (Temporary Files) مخفی در درایو می‌کند تا فضای خالی دیسک را به طور کامل اشغال نماید. در نتیجه، به دلیل نبود فضای کافی، نصب به‌روزرسانی با خطا مواجه شده و پس از شکست عملیات، ابزار مذکور فایل‌ها را حذف کرده و فضای دیسک را آزاد می‌کند.
تداخل با MRT.exe
علاوه بر اشغال فضای دیسک، BigDiskBuster فایل اجرایی MRT.exe (ابزار حذف نرم‌افزارهای مخرب مایکروسافت) را به گونه‌ای باز می‌کند که دسترسی سایر پروسه‌ها به این فایل محدود شود. این اقدام باعث می‌شود Defender در نسخه‌های قدیمی پلتفرم و تعاریف امنیتی باقی بماند.
پیامدهای امنیتی
اگرچه آنتی‌ویروس همچنان در حال اجرا است، اما عدم دریافت آخرین تعاریف تهدیدات (Threat Definitions) باعث می‌شود سیستم در شناسایی بدافزارهای جدید و Zero-Day بسیار ضعیف عمل کند. در اسکرین‌شات‌های منتشر شده، خطای 0x80070643 در بخش Windows Security مشاهده می‌شود که نشان‌دهنده شکست در نصب به‌روزرسانی‌ها است.
پیشینه و تنش با مایکروسافت
انتشار این ابزار در ادامه اختلافات شدید میان NightmareEclipse و شرکت مایکروسافت صورت گرفته است. این پژوهشگر مدعی است که به دلیل برخورد نامناسب مایکروسافت و قطع دسترسی او به سیستم گزارش آسیب‌پذیری، اقدام به انتشار عمومی Zero-Dayها و کدهای Exploit کرده است. پیش از این ابزارهایی نظیر RoguePlanet و ShieldBreak نیز توسط وی منتشر شده بودند که برخی از آن‌ها در محیط‌های واقعی مورد سوءاستفاده قرار گرفتند.
وضعیت فعلی
در حال حاضر شواهدی مبنی بر استفاده از BigDiskBuster در حملات واقعی وجود ندارد و ادعای سازگاری کامل آن با تمامی نسخه‌های پشتیبانی شده ویندوز هنوز به طور مستقل تایید نشده است. مایکروسافت تاکنون پاسخ رسمی به این گزارش نداده است.
