Narzędzie BigDiskBuster, opublikowane przez znanego autora exploitów zero-day działającego pod pseudonimem NightmareEclipse, potrafi blokować aktualizacje Microsoft Defender przez celowe zapełnianie dysku. W efekcie zabezpieczenia nadal działają, ale korzystają z nieaktualnych sygnatur i danych o zagrożeniach. Ponieważ nie ma jeszcze poprawki usuwającej lukę, administratorzy powinni zwrócić uwagę na powtarzające się błędy aktualizacji i brak wolnego miejsca na dysku.
BigDiskBuster – jak blokuje aktualizacje Microsoft Defender?
NightmareEclipse opublikował narzędzie typu proof of concept (PoC) o nazwie BigDiskBuster, które wykorzystuje niezałataną dotąd lukę do zakłócania procesu aktualizacji Microsoft Defender. Mechanizm obserwuje system w poszukiwaniu nowych katalogów tworzonych podczas aktualizacji zabezpieczeń. Gdy wykryje rozpoczęcie tego procesu, celowo zajmuje całą dostępną przestrzeń dyskową.
Jak opisuje serwis The Register, narzędzie tworzy ukryty plik tymczasowy, który zajmuje całe pozostałe wolne miejsce na dysku. W efekcie proces aktualizacji nie może zostać ukończony. Następnie plik jest usuwany, a narzędzie oczekuje na kolejną próbę instalacji aktualizacji, aby ponownie zablokować jej przebieg. W rezultacie dochodzi do ataku typu denial-of-service (DoS) wymierzonego w mechanizm aktualizacji zabezpieczeń. Microsoft Defender nie zostaje całkowicie wyłączony, ale nie otrzymuje aktualnych danych potrzebnych do rozpoznawania najnowszych zagrożeń.
Jak wykryć blokowanie aktualizacji Defendera?
NightmareEclipse publikował już wcześniej exploity powodujące zakłócenie działania Microsoft Defender. Według dostępnych informacji niektóre z tych narzędzi zostały później wykorzystane w rzeczywistych atakach. Dlatego publikacji BigDiskBuster nie należy traktować wyłącznie jako problemu eksperymentalnego.
Na moment opisywanej publikacji nie była dostępna poprawka usuwająca lukę wykorzystywaną przez BigDiskBuster. Administratorzy powinni więc monitorować zachowanie systemów i zwracać szczególną uwagę na symptomy mogące wskazywać na celowe zakłócanie aktualizacji.
Warto kontrolować przede wszystkim:
- Powtarzające się nieudane aktualizacje Microsoft Defendera, szczególnie gdy problem występuje przy kolejnych próbach instalacji.
- Nagłe lub utrzymujące się zmniejszenie ilości wolnego miejsca na dysku, zwłaszcza jeśli nie wynika z normalnego działania systemu.
- Powtarzalny schemat problemów – aktualizacje kończą się niepowodzeniem, a dostępne miejsce na dysku zmienia się w sposób trudny do wyjaśnienia.
Wystąpienie takich objawów nie przesądza o ataku, ale powinno skłonić administratorów do sprawdzenia logów, procesu aktualizacji i wykorzystania przestrzeni dyskowej. Warto również śledzić komunikaty Microsoftu dotyczące dostępności poprawki.
Dlaczego aktualność Microsoft Defendera ma znaczenie?
BigDiskBuster pokazuje, że skuteczność ochrony antywirusowej zależy nie tylko od tego, czy program jest uruchomiony, ale również od tego, czy może regularnie pobierać i instalować aktualizacje. Do czasu udostępnienia poprawki kluczowe znaczenie mają monitorowanie błędów aktualizacji oraz nietypowego wykorzystania dysku. Szybkie wykrycie takich symptomów może pomóc ograniczyć czas, w którym system pozostaje bez najnowszych danych o zagrożeniach.
Źródła:
Wpis powstał na podstawie artykułu z biuletynu firmy Symantec.
O autorze: Łukasz Lein
Product manager - Opiekun marki Symantec
Od blisko 10 lat w firmie Arkanet. Bacznie śledzi ruchy cyberprzestępczości w Polsce i na świecie, dzięki czemu wie, jak pomóc klientom zabezpieczyć swoją sieć firmową przed wszelkimi atakami. Z zamiłowania, po pracy, aktywny "piłkokopacz".
