Исследователь кибербезопасности заблокировал автообновление антивируса Microsoft Defender

Исследователь в области кибербезопасности, известный как NightmareEclipse, разработал новый метод, позволяющий блокировать автоматические обновления антивирусного программного обеспечения Microsoft Defender. Его инструмент, получивший название BigDiskBuster, предназначен для предотвращения установки обновлений и функционирует на всех актуальных версиях Windows.

BigDiskBuster не отключает антивирус полностью, а ожидает запуска процесса обновления, после чего заполняет диск данными, чтобы не хватало свободного места для завершения установки. Для этого создаются временные скрытые файлы, и при необходимости запускаются дополнительные процессы, чтобы занять ещё больше пространства. Когда Microsoft Defender фиксирует сбой обновления, временные файлы закрываются, освобождая место на диске.

Кроме того, утилита осуществляет доступ к исполняемому файлу MRT.exe, блокируя доступ других процессов к нему, пока он остаётся открытым. В результате, пока работает BigDiskBuster, антивирус использует устаревшие версии баз данных сигнатур, что может негативно сказаться на его способности обнаруживать новые угрозы. Эксперт предоставил скриншот с ошибкой 0x80070643, которая может возникать при сбое установки обновлений, однако это не является прямым доказательством успешной работы утилиты.

Несмотря на то, что работа антивируса без актуальных обновлений нежелательна, независимые эксперты пока не смогли подтвердить функционирование BigDiskBuster. Ранее NightmareEclipse сообщал о более серьёзных уязвимостях в Windows, но данный эксплойт затрагивает одну из основных функций антивируса — автоматическое обновление.