BigDiskBuster: PoC Zero Day que bloquea las actualizaciones de Microsoft Defender

El 19 de sep­tiem­bre se pu­bli­có en GitHub una he­rra­mien­ta de prue­ba de con­cep­to  (ahora eli­mi­na­do)para un ex­ploit de día cero que im­pi­de a Mi­cro­soft De­fen­der ins­ta­lar ac­tua­li­za­cio­nes de pla­ta­for­ma y de fir­mas al lle­nar todo el es­pa­cio dis­po­ni­ble en disco.

La he­rra­mien­ta, de­no­mi­na­da Big­Disk­Bus­ter, ca­re­ce de par­che, de iden­ti­fi­ca­dor CVE y de bo­le­tín de se­gu­ri­dad de Mi­cro­soft. La he­rra­mien­ta está di­se­ña­da para in­ter­fe­rir con Mi­cro­soft De­fen­der An­ti­vi­rus, im­pi­dien­do que ins­ta­le ac­tua­li­za­cio­nes de la pla­ta­for­ma y de in­te­li­gen­cia de se­gu­ri­dad.

Su autor, Ab­delha­mid Na­ce­ri  (ahora eli­mi­na­do), es un an­ti­guo in­ves­ti­ga­dor de se­gu­ri­dad de Mi­cro­soft cuyos ex­ploits an­te­rio­res para De­fen­der fue­ron uti­li­za­dos en ata­ques reales. Na­ce­ri tam­bién es co­no­ci­do como Night­ma­re Eclip­se, Chao­tic Eclip­se y MS­Night­ma­re (ver abajo).

Cuan­do se blo­quean las ac­tua­li­za­cio­nes, De­fen­der sigue fun­cio­nan­do, pero sus datos de de­tec­ción que­dan ob­so­le­tos. La cap­tu­ra de pan­ta­lla del in­ves­ti­ga­dor mues­tra que De­fen­der de­vuel­ve un error ge­né­ri­co de Win­dows al in­ten­tar ac­tua­li­zar­se; sin em­bar­go, la prue­ba de con­cep­to por sí sola no acla­ra si este fallo ge­ne­ra una aler­ta au­to­má­ti­ca.

Sus tres pri­me­ras he­rra­mien­tas para De­fen­der — BlueHam­mer, Red­Sun y Un­De­fend — fue­ron ex­plo­ta­das en in­tru­sio­nes reales antes de que Mi­cro­soft lan­za­ra par­ches para ellas y de que la CISA las in­clu­ye­ra en su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das co­no­ci­das. Desde en­ton­ces, ha di­vul­ga­do fa­llos adi­cio­na­les de De­fen­der y Win­dows apro­xi­ma­da­men­te una vez al mes…