Forscher Veröffentlicht Zero-Day-PoC BigDiskBuster, Der Microsoft Defender Updates Blockiert

Ein neu veröffentlichter Proof-of-Concept-Tool namens BigDiskBuster blockiert Microsoft Defender Updates, indem es den gesamten verfügbaren Festplattenspeicher füllt. Das Werkzeug wurde am 19. September auf GitHub veröffentlicht und wurde von Abdelhamid Naceri, einem ehemaligen Microsoft Security Researcher, entwickelt. Der Code weist keine Patch, keine CVE und keine offizielle Microsoft-Ankündigung auf. Naceri wurde 2024 aus dem Microsoft Security Response Center entlassen und veröffentlicht seit April eigenständig Exploits. BigDiskBuster nutzt die C:-Laufwerk-Überwachung, um temporäre Dateien zu erzeugen, die den freien Speicherplatz ausnutzen, wenn Defender Updates herunterlädt.

Der Tool löscht die Datei nach einem fehlgeschlagenen Update und hält einen Handle auf MRT.exe offen, um Windows Update zu blockieren. Der Autor bezeichnet das Werkzeug als "ein bisschen fehlerhaft und muss neu geschrieben werden" und behauptet, es funktioniere auf allen unterstützten Windows-Versionen. Ähnlich wie ein zuvor veröffentlichtes Defender-DoS-Tool namens UnDefend, das im April entdeckt wurde, nutzt BigDiskBuster eine andere Technik. Microsoft hat das UnDefend-Fehlverhalten im Mai als CVE-2026-45498 im Antimalware Platform Update 4.18.26040.7 gepatcht.

Ob dieses Patch auch BigDiskBuster abdeckt, ist nicht bekannt. Derzeit gibt es keinen offiziellen Patch oder Workaround. Administratoren können Defender-Update-Fehler, niedrigen Festplattenspeicher und große temporäre Dateien überwachen, um die Technik zu erkennen. Restriktionen wie WDAC oder AppLocker können die Ausführung unbekannter Binaries verhindern.