Nova técnica pode bloquear atualizações do Microsoft Defender sem desligar o antivírus
Uma prova de conceito chamada BigDiskBuster demonstra uma forma de impedir que o Microsoft Defender receba atualizações sem encerrar o antivírus. A ferramenta foi divulgada pelo pesquisador de segurança conhecido como NightmareEclipse, também identificado como Abdelhamid Naceri.
A estratégia não tenta desativar diretamente os recursos de proteção do Windows. Em vez disso, interfere no processo de atualização: quando identifica que o Defender está prestes a receber novas definições ou componentes, a ferramenta ocupa o espaço disponível na unidade de armazenamento. Sem capacidade suficiente para concluir a instalação, a atualização pode falhar.
Para provocar essa falta de espaço, a PoC cria arquivos temporários ocultos que crescem até preencher o armazenamento livre. O pesquisador afirma que processos adicionais podem ser iniciados para manter o consumo. Depois que a atualização falha, os arquivos são fechados e o espaço ocupado volta a ficar disponível para o sistema.
O BigDiskBuster também interage com o arquivo MRT.exe, associado à Ferramenta de Remoção de Software Malicioso da Microsoft. Segundo a descrição do pesquisador, o executável é aberto de forma a restringir o acesso de outros processos enquanto o identificador do arquivo permanece ativo. Em conjunto, essas ações poderiam impedir que as versões da plataforma e da inteligência de segurança do Defender avancem durante a interferência.
Uma imagem apresentada com a prova de conceito mostra o Windows Security indicando falha na atualização das definições, com o código 0x80070643. Esse erro, porém, é genérico e pode surgir em diferentes situações de instalação. Portanto, sua presença isolada não confirma que o BigDiskBuster foi utilizado.
O pesquisador afirma que a técnica é compatível com todas as versões do Windows que ainda recebem suporte. Essa alegação não foi confirmada de maneira independente. Ele também reconheceu que a PoC tem limitações e que algumas partes precisam ser reescritas.
Mesmo sem desligar o antivírus, bloquear as atualizações pode enfraquecer a proteção ao longo do tempo. As definições de segurança são atualizadas para reconhecer ameaças novas ou modificadas. Se o sistema ficar preso a versões antigas, poderá ter mais dificuldade para identificar arquivos maliciosos e outras atividades suspeitas recentes.
Isso não significa que toda falha de atualização seja sinal de ataque. Problemas de conexão, pouco espaço em disco, arquivos danificados ou conflitos de software também podem impedir a instalação. O código 0x80070643, por si só, não permite determinar a causa.
Para reduzir riscos, usuários e administradores devem verificar se o Microsoft Defender está atualizado e se o Windows Security apresenta alertas persistentes. Também é recomendável manter espaço livre no disco, instalar as atualizações do Windows e investigar falhas repetidas em vez de ignorá-las. Em computadores corporativos, equipes de tecnologia podem conferir o estado das atualizações e os registros de segurança dos dispositivos.
Caso as atualizações não sejam instaladas, uma medida prudente é reiniciar o computador e tentar novamente pelo mecanismo oficial do Windows. Se o erro persistir, vale verificar o armazenamento e os componentes de atualização do sistema. A remoção de arquivos desconhecidos ou a execução de ferramentas de terceiros sem avaliação pode causar danos adicionais.
A divulgação ocorre em meio a um desacordo entre NightmareEclipse e a Microsoft sobre o tratamento de falhas de segurança. Desde abril, o pesquisador tornou públicas diversas vulnerabilidades e provas de conceito para Windows. A empresa já criticou a publicação de detalhes antes de ter tempo para corrigir os problemas; o pesquisador, por sua vez, apontou dificuldades no relacionamento com o programa de comunicação de vulnerabilidades.
Entre as técnicas divulgadas anteriormente por ele estão RoguePlanet, apresentada em junho; LegacyHive, em julho; ShieldBreak, em agosto; e ShieldCrash, em setembro. Algumas falhas anteriores foram corrigidas pela Microsoft, enquanto outras foram exploradas em ataques após se tornarem públicas.
Até o momento, não há indicação de que o BigDiskBuster esteja sendo empregado em ataques reais. Também não existe confirmação independente de sua compatibilidade com todas as versões suportadas do Windows. Ainda assim, o caso chama atenção para um risco importante: um antivírus pode continuar aparentemente ativo e, ao mesmo tempo, perder atualizações essenciais para acompanhar ameaças emergentes.