BigDiskBuster tạo khoảng trống phát hiện khi chặn cập nhật của Microsoft Defender
"The proof-of-concept technique "BigDiskBuster" creates a silent detection gap by blocking updates while Microsoft Defender continues running normally. No exploit is required, and the issue affects virus detection rather than causing a full EDR bypass or service outage."
Ảnh hưởng chính là suy giảm khả năng phát hiện mã độc dù dịch vụ vẫn chạy; không phải vô hiệu hóa hoàn toàn EDR. Cần chú ý đến độ tin cậy của cập nhật và trạng thái bảo vệ thực tế.
Có thể làm tăng rủi ro tồn tại mã độc không bị phát hiện và tạo khoảng trống giám sát. Tác động vận hành chủ yếu nằm ở việc phải kiểm tra, giám sát và xác minh cập nhật thường xuyên hơn.
Kỹ thuật proof-of-concept BigDiskBuster cho thấy có thể tạo ra một khoảng trống phát hiện bằng cách chặn cập nhật trong khi Microsoft Defender vẫn tiếp tục chạy bình thường. Theo mô tả, không cần exploit để thực hiện kỹ thuật này, và dịch vụ bảo vệ không bị ngừng hoạt động.
Điểm đáng chú ý là vấn đề này chủ yếu ảnh hưởng đến khả năng phát hiện mã độc, thay vì tạo ra một EDR bypass hoàn toàn hoặc gây gián đoạn dịch vụ. Điều đó có nghĩa là hệ thống có thể vẫn hiển thị trạng thái hoạt động, nhưng dữ liệu nhận diện và cập nhật có thể không còn đầy đủ như kỳ vọng.
Khuyến nghị cho đội vận hành là kiểm tra cơ chế cập nhật định nghĩa, giám sát trạng thái đồng bộ của Microsoft Defender, và xác minh các chính sách có thể chặn luồng cập nhật. Nên bổ sung cảnh báo khi cập nhật bị trì hoãn bất thường, đồng thời rà soát khả năng phát hiện dựa trên nhiều lớp thay vì chỉ dựa vào trạng thái dịch vụ.