研究者が大容量ディスクバスターPoCを公開、Microsoft Defenderの更新をブロック

研究者がGitHubに大容量ディスクバスターというPoCを公開し、Microsoft Defenderのプラットフォームとシグネチャ更新を停止させた。

このツールはディスク空き領域を埋め尽くすことで更新を妨げ、Defenderは更新を受け付けないが検出コンテンツは古いままとなる。

研究者はMicrosoftのセキュリティレスポンスセンターから2024年に解雇され、同年から社内調整なしにエクスプロイトを公開している。

BigDiskBusterはC:\ドライブのDefender更新パス以下に新しいディレクトリを監視し、更新開始時に残りの空き領域を埋める隠し一時ファイルを作成して更新を失敗させる。

更新が失敗するとDefenderはステージングディレクトリを削除し、ツールはファイルを削除して次回の試行を待機する。

ツールはMRT.exeにハンドルを開設し、Windows Updateが置き換えることを阻止する。

研究者はツールが「少しバグがある」と述べ、すべてのサポートされているWindowsバージョンで動作すると語った。

UnDefendとは異なる方法で動作し、ディスク容量を埋めるのに対しUnDefendはリソース消費を制御不能にしていた。

Microsoftは2026年5月にCVE-2026-45498としてUnDefendをパッチし、Antimalware Platform 4.18.26040.7で修正した。

BigDiskBusterにはパッチやベンダー回避策が存在せず、管理者はDefenderの更新失敗や低ディスク空き、隠し一時ファイルの監視が必要である。

PowerShellのGet-MpComputerStatusでAMEngineVersionとAMProductVersionを確認することが可能である。