Lỗ hổng PoC mới khiến Microsoft Defender khó cập nhật
"Security researcher NightmareEclipse (Abdelhamid Naceri) published a proof-of-concept called BigDiskBuster that interferes with Microsoft Defender Antivirus updates by exhausting disk space during the update process. The issue does not disable Defender, but can leave platform and security intelligence definitions stale, potentially reducing malware detection effectiveness; no CVE is mentioned and there is no confirmed real-world exploitation yet."
Ảnh hưởng chính là làm chậm hoặc chặn cập nhật Defender, khiến định nghĩa phát hiện có thể lỗi thời và giảm hiệu quả bảo vệ trước mã độc mới.
Tác động vận hành chủ yếu là rủi ro suy giảm lớp phòng thủ đầu cuối và tăng khối lượng kiểm tra cho đội vận hành khi cập nhật bảo mật thất bại.
Nhà nghiên cứu bảo mật NightmareEclipse (Abdelhamid Naceri) đã công bố một proof-of-concept tên BigDiskBuster nhằm can thiệp vào quá trình cập nhật của Microsoft Defender Antivirus. Cách khai thác này không vô hiệu hóa Defender, nhưng có thể làm cho platform và security intelligence definitions không được cập nhật kịp thời, từ đó ảnh hưởng đến khả năng phát hiện mã độc mới.
Theo mô tả, PoC sẽ chờ khi tiến trình cập nhật bắt đầu rồi cố tình làm đầy dung lượng ổ đĩa bằng các tệp tạm ẩn để bản cập nhật không thể hoàn tất. Khi phát hiện cập nhật thất bại, công cụ sẽ giải phóng dung lượng đã chiếm. Tác giả cũng cho biết công cụ có thể tác động trên các phiên bản Windows được hỗ trợ, nhưng nhận định này chưa được xác minh độc lập.
Hiện chưa có dấu hiệu cho thấy BigDiskBuster đã bị sử dụng trong tấn công thực tế, và bài viết cũng không nêu CVE nào. Với quản trị viên, khuyến nghị là theo dõi trạng thái cập nhật của Defender, kiểm tra cảnh báo lỗi như 0x80070643, và đảm bảo hệ thống có đủ dung lượng trống để quá trình cập nhật hoàn tất bình thường.