Microsoft Defender: zero-day può bloccare gli aggiornamenti dell'antivirus

Il solito ricercatore Nightmare Eclipse, che da mesi ha sventolato il guanto di sfida all’intero team del Microsoft Security Response Center (MSRC), annuncia la scoperta di una nuova vulnerabilità in Microsoft Defender. L’antivirus di Windows può apparire regolarmente in esecuzione ma, allo stesso tempo, non ricevere più alcun aggiornamento: è questo il succo della nuova falla BigDiskBuster.

Il codice exploit messo a punto da Nightmare Eclipse non “spegne” l’antivirus e non richiede di alterarne direttamente i servizi: aspetta invece l’avvio di un aggiornamento e crea una condizione che ne provoca il fallimento. Così facendo, per un qualunque utente, Microsoft Defender appare in esecuzione e con protezione attiva, in realtà gli aggiornamenti risultano bloccati lasciando il sistema vulnerabile a nuove modalità di attacco che i successivi update di Defender potrebbero invece rilevare e neutralizzare.

Nightmare Eclipse aveva già pubblicato in aprile UnDefend, tecnica capace di impedire gli aggiornamenti delle definizioni anche partendo da un account standard. Microsoft l’ha poi classificata come CVE-2026-45498 e corretta con la piattaforma Defender 4.18.26040.7. La vulnerabilità era stata osservata anche in attacchi reali ed era finita nel catalogo KEV (Known Exploited Vulnerabilities Catalog) CISA.

BigDiskBuster utilizza però un meccanismo differente e ad oggi non risulta disponibile alcun correttivo, tanto che si può parlare di uno zero-day a tutti gli effetti.

BigDiskBuster non disattiva Defender: gli toglie lo spazio “sotto i piedi”

La tecnica scelta alla base del funzionamento dell’exploit BigDiskBuster è quasi sorprendente per la sua semplicità concettuale.

Il codice proof-of-concept (PoC) controlla la dimensione e le specifiche dell’unità di sistema e attende la comparsa delle directory utilizzate da Defender durante le operazioni di aggiornamento. Quando rileva che il prodotto sta preparando nuovi file da installare, l’exploit occupa virtualmente tutto lo spazio libero sull’unità.

Per riuscirci, crea file temporanei nascosti dimensionati in modo da consumare lo spazio residuo. Defender, che nel frattempo deve creare o espandere i propri file di staging, si trova così senza spazio sufficiente e l’installazione fallisce.

Non appena il tentativo di aggiornamento termina e la directory temporanea di Defender scompare, BigDiskBuster chiude i file creati e libera nuovamente lo spazio. Il disco, quindi, può tornare nello stato normale. Il codice rimane però in esecuzione e aspetta il tentativo successivo, pronto a ripetere la stessa operazione.

Perché un attacco può essere pericoloso

BigDiskBuster non rappresenta, da solo, una tecnica per compromettere un computer attraverso Internet.

Per eseguire il PoC serve già la possibilità di avviare codice sulla macchina: si comporta da strumento di post-compromissione. Un aggressore che abbia cioè già ottenuto l’esecuzione locale potrebbe cercare di indebolire nel tempo le capacità di rilevamento del sistema senza dover necessariamente arrestare il servizio antivirus.

Disabilitare Microsoft Defender, modificarne la configurazione oppure spegnere determinati servizi può attirare l’attenzione di controlli EDR, policy aziendali e meccanismi come Tamper Protection. Un antivirus che continua invece a risultare attivo, ma conserva per giorni una vecchia versione delle firme o della piattaforma, produce una situazione molto più subdola.

Microsoft Defender non basa peraltro la propria efficacia soltanto sulle firme locali: la protezione cloud, l’analisi comportamentale, il machine learning e altri meccanismi continuano a fornire una copertura importante. Lasciare il prodotto bloccato su versioni obsolete riduce inevitabilmente la capacità di beneficiare delle correzioni e delle informazioni sulle minacce pubblicate in date successive.

Come controllare se Microsoft Defender sta davvero ricevendo gli aggiornamenti

La verifica più semplice passa dall’app Sicurezza di Windows, nella sezione dedicata agli aggiornamenti della protezione. In ambito amministrativo conviene però interrogare direttamente Defender tramite PowerShell.

La cmdlet Get-MpComputerStatus espone, tra le altre informazioni, AMProductVersion per la versione della piattaforma, AMEngineVersion per il motore e AntivirusSignatureVersion per la versione delle definizioni antivirus. Un controllo centralizzato di questi valori permette di individuare macchine che restano improvvisamente indietro rispetto al resto della flotta.

Per forzare manualmente l’aggiornamento, Microsoft documenta anche il comando MpCmdRun.exe -SignatureUpdate.

Si tratta di un’utilità che si trova nella directory della versione corrente sotto %ProgramData%\Microsoft\Windows Defender\Platform. Un aggiornamento manuale che continua a fallire non dimostra la presenza di BigDiskBuster, ma fornisce un segnale utile per approfondire.