Ferramenta de segurança de pesquisador deixa o Microsoft Defender sem atualizações

O pesquisador de segurança Abdelhamid Naceri, conhecido como NightmareEclipse, lançou uma ferramenta chamada BigDiskBuster que impede o Microsoft Defender Antivirus de instalar atualizações de plataforma e inteligência de segurança.

A ferramenta funciona de forma similar ao anterior "UnDefend", criando arquivos temporários ocultos para ocupar o espaço livre do disco e impedir que a atualização do Defender seja concluída. Quando detecta que a atualização falhou, fecha os arquivos e libera o espaço.

BigDiskBuster também abre o executável da Ferramenta de Remoção de Software Malicioso da Microsoft, MRT.exe, de uma forma que restringe o acesso de outros processos ao arquivo enquanto o handle permanece aberto.

O resultado, segundo NightmareEclipse, é que o Defender permanece travado em suas versões atuais de plataforma e inteligência de segurança enquanto a ferramenta continuar interferindo nas atualizações.

A ferramenta não desativa o Defender, apenas o deixa sem atualizações. Isso significa que o antivírus continua funcionando, mas não recebe as definições de ameaça mais recentes da Microsoft, o que pode deixá-lo menos capaz de identificar malwares recém-detectados.

NightmareEclipse publicou um código de prova de conceito que ainda está em desenvolvimento, com o próprio pesquisador admitindo que está "um pouco buggy e precisa de alguns retoques". A compatibilidade com todas as versões suportadas do Windows não foi verificada de forma independente.

Não há indicação de que BigDiskBuster tenha sido usado em ataques reais. A disputa pública entre o pesquisador e a Microsoft continua, com NightmareEclipse tendo liberado múltiplos zero-days do Windows desde abril, incluindo RoguePlanet, LegacyHive, ShieldBreak e ShieldCrash.

A Microsoft não respondeu aos questionamentos sobre o caso.