Исследователь кибербезопасности NightmareEclipse сообщил об очередной попытке повлиять на работу продуктов Microsoft: он нашёл способ заблокировать автоматическое обновление антивируса Defender. По данным, опубликованным автором, утилита BigDiskBuster предназначена для принудительного сохранения текущей версии программного модуля и баз сигнатур Defender, пока её работа идёт в фоновом режиме. Автор пояснил, что утилита «полностью блокирует обновление Defender, так что у вас остаётся текущая версия программы» и отмечал, что она работает на всех поддерживаемых версиях Windows, хотя её функционал «функционирует с ошибками и требует доработки». Эти заявления приводятся агентством на основе публикаций NightmareEclipse. Источник утверждений — сам исследователь и сопутствующие материалы. sources: [0, 10]},{

Эксплойт, как описано в материалах NightmareEclipse, не отключает Defender полностью: он дожидается начала процесса обновления, создаёт временные скрытые файлы и запускает дополнительные потоки для того, чтобы заполнить диск и не дать завершиться установке. Затем файлы закрываются, свободное место освобождается, а механизм продолжает работу до тех пор, пока утилита не прервёт обновление. Также стало известно, что BigDiskBuster может открывать исполняемый файл MRT.exe средства Microsoft для удаления вредоносных программ и блокировать доступ к нему другим процессам, пока открыт дескриптор. В результате Defender продолжает использовать текущие версии модулей и баз сигнатур. sources: [12]},{

Экспертная реакция неодинакова: скриншоты указывают на то, что обновление Defender завершается с ошибкой 0x80070643 — стандартная ошибка установки. Однако сама ошибка не доказывает прямую связь с утилитой BigDiskBuster. В контексте ситуации это значит, что антивирус работает с устаревшими базами и не может распознавать недавно обнаруженные угрозы. Независимые эксперты ещё не подтвердили работоспособность утилиты, а NightmareEclipse ранее сообщал о более опасных уязвимостях Windows. sources: [13]}],