безпеки
BigDiskBuster запускає Microsoft Antivirus, але не може інсталювати оновлення
Серійний витік від Microsoft NightmareEclipse знайшов ще один спосіб зіткнутися з Windows Defender, цього разу зупинивши антивірусне оновлення.
Дослідник безпеки, відомий як Абдельхамід Насері, опублікував доказ концепції під назвою «BigDiskBuster», призначений для запобігання встановленню платформи Microsoft Defender Antivirus від отримання оновлень системи безпеки.
NightmareEclipse сказав: «Створює безглуздий інструмент, повністю відмовляє захиснику від оновлення, тому ви застрягли на своїй поточній версії, якщо інструмент працює у фоновому режимі».
Дослідник описує BigDiskBuster як схожий на попередній інструмент «UnDefend» і стверджує, що він працює на всіх підтримуваних версіях Windows, хоча вони визнають, що поточний PoC «дещо багічний і потребує деякого переписування». [sic].” Ця заява про сумісність не була незалежно перевірена.
Хитрість полягає не в тому, щоб вимкнути Defender. Натомість PoC чекає на початок оновлення, а потім намагається заповнити диск, якщо для його завершення недостатньо місця.
Код робить це, створюючи приховані тимчасові файли, щоб використовувати вільний дисковий простір і запускати додаткові потоки за потреби. Коли він виявляє, що оновлення Defender не вдалося, він закриває файли та відновлює простір.
BigDiskBuster також відкриває виконувану програму Microsoft MRT.exe для видалення зловмисного програмного забезпечення, яка обмежує доступ інших процесів до файлу, коли диск відкритий.
У результаті, згідно з NightmareEclipse, Defender залишатиметься на своїй поточній платформі та версіях аналізу безпеки, доки інструмент не буде перервано оновленнями.
На знімку екрана, опублікованому разом із PoC, показано звіт безпеки Windows, що оновлення визначення захисту не вдалося з помилкою 0x80070643. Але це типова помилка встановлення, яка сама по собі не доводить, що BigDiskBuster працює.
Безумовно, Defender залишається на застарілих розвідувальних даних безпеки. Антивірус може все ще працювати, але якщо запобігти його застосуванню останніх визначень загроз Microsoft, це може погіршити його здатність виявляти нещодавно виявлені шкідливі програми.
Постійний потік помилок від NightmareEclipse з’являється на тлі публічної суперечки між дослідником і Microsoft щодо процесу розкриття вразливості компанії. У квітні дослідник почав скидати код Windows zero-day і proof-of-concept, стверджуючи, що Microsoft погано поводилася з ними та відрізала їм доступ до своєї системи звітів про вразливості.
Редмонд був не надто в захваті. У травні Microsoft розкритикувала NightmareEclipse за те, що вона оприлюднила вразливість, не давши їм шансу спочатку її виправити, заявивши, що жодна з початкових помилок не була повідомлена через її офіційні канали. Компанія також звернулася до свого підрозділу цифрових злочинів і заявила, що переслідуватиме людей, які займаються зловмисною діяльністю або кіберзлочинністю — формулювання, яке широко трактується як загрозливе судове позов проти дослідника.
Це пішло так, як і слід було очікувати зі спільнотою безпеки. Пізніше Microsoft відкинула цю риторику, заявивши, що «не має наміру вживати заходів проти осіб, які проводять або публікують дослідження безпеки». Але на той час попередній обліковий запис NightmareEclipse на GitHub також було призупинено, а також доступ до порталу звітів про вразливості Microsoft.
Мирна пропозиція не припинила війни. NightmareEclipse продовжувала випускати експлойти Windows, зокрема RoguePlanet у червні, LegacyHive у липні, ShieldBreak у серпні та ShieldCrash у вересні. Кілька з попередніх нульових днів дослідника з тих пір були виправлені Microsoft, а деякі з них використовувалися в дикій природі після публічного випуску.
BigDiskBuster — зовсім інша тварина. Замість того, щоб надавати чіткий шлях до СИСТЕМНИХ привілеїв, він заважає одній із основних функцій антивірусного програмного забезпечення: самооновленню.
Наразі немає жодних ознак того, що BigDiskBuster використовувався в реальних атаках, і твердження NightmareEclipse про те, що він працює на всіх підтримуваних версіях Windows, не підтверджено.
Редмонд не відповів на запитання зареєструватисязапитання На даний момент його кошмар не має ознак закінчення.®
