Исследователь безопасности сообщил об атаке BigDiskBuster, которая способна заполнить системный диск Windows и помешать обновлениям Microsoft Defender. Публичный прототип существует, но Microsoft пока не подтвердила уязвимость и не присвоила ей CVE. Это не «кнопка отключения антивируса», а заявленный сценарий локального отказа в обслуживании.
О находке рассказал специалист Абдельхамид Насери, выступающий под именем Nightmare Eclipse. По его словам, техника затрагивает поддерживаемые версии Windows и использует сочетание неконтролируемого расходования дискового пространства с блокировкой компонента Malicious Software Removal Tool. Технический прототип автор назвал нестабильным.
Для обычного пользователя здесь важны две оговорки. Во-первых, атака требует запуска кода на самом компьютере — сайт не заполняет диск одним взглядом. Во-вторых, остановка обновлений Defender не равна мгновенному удалению уже установленной защиты. Опасность в том, что антивирус перестаёт своевременно получать новые сигнатуры и компоненты.
Что такое BigDiskBuster
Название описывает эффект: «разрушитель большого диска» создаёт условия, при которых свободное место быстро заканчивается. Одновременно заявлена возможность удерживать системный процесс так, чтобы очередное защитное обновление не завершилось штатно. Исследователь опубликовал краткое описание 21 сентября.
Запускать прототип на обычном компьютере для проверки не следует: сам эксперимент способен заполнить диск и нарушить обновление защиты. Для оценки риска достаточно публичного описания; команды и расположение служебных файлов практической пользы владельцу Windows не дают.
Пока корректнее говорить о заявлении исследователя, а не о подтверждённой уязвимости Windows. Нет бюллетеня Microsoft, идентификатора CVE, оценки критичности и официального списка затронутых сборок. Неизвестно и то, воспроизводится ли техника в заявленном виде на стандартной системе без дополнительных условий.
Почему заполненный диск мешает защите
Защитные программы регулярно скачивают базы, распаковывают пакеты, создают временные файлы и заменяют компоненты. Если на системном разделе не осталось места, обновление может завершиться ошибкой. Это относится не только к Defender: без свободного пространства ломаются обновления Windows, кэш приложений, журналы и даже нормальный вход в систему.
Вторая часть сценария связана с Microsoft Malicious Software Removal Tool — ежемесячным средством удаления распространённых угроз. Оно не заменяет постоянный антивирус, но распространяется через Windows Update. Блокировка процесса способна нарушить конкретный цикл обслуживания, хотя точный эффект BigDiskBuster ещё должен пройти независимую проверку.
Как проверить, обновляется ли Microsoft Defender
Откройте приложение «Безопасность Windows», затем раздел «Защита от вирусов и угроз» и сведения об обновлениях защиты. Там отображаются версия и дата последнего обновления аналитики безопасности. Microsoft публикует текущие номера на официальной странице Defender; на 21 сентября актуальная версия аналитики безопасности — 1.459.320.0, платформа — 4.18.26080.4.
Номер на компьютере может отличаться на несколько часов из-за поэтапной доставки, но дата не должна надолго застывать без причины. Кнопка проверки обновлений в «Безопасности Windows» запускает загрузку вручную. Если она постоянно заканчивается ошибкой, нужно также проверить Windows Update и свободное место на диске C.
Как защититься без сомнительных утилит
- Не запускайте proof-of-concept на основном компьютере. Пометка «для исследования» не делает код безопасным.
- Оставляйте запас на системном диске. Несколько свободных гигабайт — минимальная гигиена, но для крупных обновлений требуется больше.
- Не отключайте Windows Update. Defender получает аналитику автоматически именно через механизм обновлений.
- Проверяйте причину внезапного расходования места. Если свободный объём быстро уменьшается, не удаляйте наугад системные папки; сначала посмотрите распределение хранилища и выполните проверку безопасности.
- В организации отслеживайте ошибки обновлений централизованно. Один пропустивший сигнатуры компьютер может быть случайностью, серия одинаковых отказов — уже событием для администратора.
Не стоит скачивать «патч BigDiskBuster» с форумов и файловых обменников. Пока Microsoft не выпускала специального исправления, такой файл не может быть официальным патчем. Лучший сценарий — он бесполезен; худший — сам содержит вредоносную нагрузку.
Насколько это опасно
Если описание подтвердится, BigDiskBuster будет уязвимостью повышения воздействия уже запущенного кода, а не способом проникновения с нуля. Злоумышленнику всё равно требуется заставить пользователя или другую программу выполнить его компонент. Но после запуска атака способна ухудшить состояние защиты и затруднить восстановление из-за переполненного диска.
Такой класс ошибок нельзя недооценивать: безопасность часто ломается не эффектным «взломом ядра», а тем, что обслуживающий процесс больше не может записать файл. В то же время слово zero-day не означает, что каждый компьютер уже атакован. Оно указывает на отсутствие готового исправления для заявленной проблемы.
DigiRPT регулярно разбирает уязвимости без публикации опасных инструкций. Ранее мы рассказывали о Plugin4Shell в ИИ-агентах для программирования и о том, как червь WeWorm использовал звонки в WeChat. Общий вывод тот же: устанавливать обновления нужно, а тестировать чужой эксплойт из любопытства — нет.
Чего ждать от Microsoft
Следующие признаки подтвердят серьёзность истории: запись в Microsoft Security Response Center, CVE, обновление платформы Defender или публичное признание компании. До их появления не следует приписывать BigDiskBuster конкретную оценку CVSS и называть все версии Windows гарантированно уязвимыми.
На текущий момент есть заявление известного исследователя и опубликованный прототип, но нет независимого технического отчёта Microsoft. Пользователям достаточно не запускать неизвестный код, следить за свободным местом и датой обновлений Defender. Это скучнее паники — и заметно полезнее.
Разборы уязвимостей и практические меры защиты — в Telegram-канале Digital Report.
