Un antivirus qui tourne n’est pas forcément un antivirus fonctionnel. BigDiskBuster sabote les mises à jour de Microsoft Defender pour l’empêcher d’actualiser sa base de signatures, et exposer ainsi la machine aux menaces les plus récentes.
Et hop, rebelote. Nouvelle faille zero-day pour Microsoft Defender, nouveau proof of concept signé Nightmare Eclipse. Après avoir divulgué plusieurs vulnérabilités ces derniers mois, affectant aussi bien l’antivirus de Redmond que d’autres composants de Windows, le chercheur réitère avec BigDiskBuster. Une méthode qui ne cherche pas à neutraliser Defender, mais à l’empêcher de récupérer ses mises à jour et ses nouvelles signatures antivirus.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Un disque plein pile quand Defender en a besoin
Pour y parvenir, BigDiskBuster ne touche pas directement aux fichiers de Microsoft Defender. Il attend qu’une mise à jour démarre, puis s’attaque à une ressource beaucoup plus terre à terre : l’espace disponible sur le disque.
Le programme crée alors des fichiers temporaires cachés pour occuper l’espace libre et priver Defender de la place nécessaire à l’installation. Une fois la mise à jour en échec, BigDiskBuster ferme ces fichiers et libère l’espace occupé. Le disque retrouve sa capacité habituelle, jusqu’à la tentative suivante. Le proof of concept interfère également avec MRT.exe, l’outil Microsoft de suppression des logiciels malveillants, en maintenant un accès au fichier susceptible d’empêcher son remplacement.
Defender continue donc d’analyser le PC et sa protection en temps réel fonctionne toujours, mais ses signatures et sa plateforme peuvent rester bloquées sur une ancienne version. Plus le temps passe, plus l’antivirus risque alors de passer à côté des menaces les plus récentes.
Une attaque locale désormais à la portée de tous
Alors, qu’on s’entende, BigDiskBuster ne permet pas de pénétrer sur une machine. Pour agir, le programme doit déjà y être exécuté. On parle donc d’une attaque locale, uniquement possible après une première compromission. Ce qui ne signifie pas qu’il faille écarter tout risque : le PoC est désormais public et peut donc être repris, modifié ou intégré à de futures attaques.
Présenté comme le successeur d’UnDefend, dévoilé au printemps dernier, BigDiskBuster s’inscrit dans le bras de fer engagé depuis plusieurs mois entre Nightmare Eclipse et Microsoft. Pour rappel, le chercheur reproche à l’éditeur sa gestion des vulnérabilités signalées et a choisi de ne plus attendre la publication d’un patch avant de révéler ses découvertes.
Une stratégie forcément risquée, puisque les exploits ainsi publiés deviennent aussi accessibles aux groupes malveillants. Dans les faits, plusieurs failles divulguées de cette manière par Nightmare Eclipse ont malgré tout été corrigées assez rapidement par Redmond. Pour BigDiskBuster, en revanche, l’éditeur n’a pas encore communiqué.
