Egy biztonsági kutató olyan demonstrációs programot tett közzé, amely a Microsoft Defender Antivirus frissítési folyamatát zavarhatja meg. A BigDiskBuster elnevezésű technika a lemezterület ideiglenes lefoglalásával akadályozhatja a biztonságiintelligencia- és platformfrissítések telepítését.
A módszer nem feltétlenül állítja le magát a vírusvédelmet. A Defender tovább működhet, miközben nem kapja meg a legújabb kártevő-felismerési adatokat és termékfrissítéseket.
A programot Abdelhamid Naceri, a Nightmare Eclipse néven is ismert biztonsági kutató hozta nyilvánosságra 2026 szeptemberében. A frissítési mechanizmust érintő szolgáltatásmegtagadási problémaként írta le.
Állítása szerint a technika minden támogatott Windows-verzión működik. A közzétett megvalósítást ugyanakkor kísérletinek nevezte, és jelezte, hogy a frissítések megakadályozásához a programnak a háttérben kell futnia.
Az eredeti, szeptember 22-i beszámoló még nem tartalmazott Microsoft-választ. A vállalat azóta a BleepingComputernek azt közölte, hogy a Microsoft Defender Antivirus felismeri a BigDiskBustert, és az észlelt tevékenység ellen felismerési és megelőzési képességekkel rendelkezik. A felhasználóknak a legfrissebb biztonságiintelligencia- és platformfrissítések telepítését javasolta. A Microsoft nyilatkozatát tartalmazó beszámoló
Ez nem azonos egy külön CVE-azonosítóval és javított verzióval dokumentált sérülékenység-korrekcióval. A megvizsgált forrásokban ilyen, kifejezetten a BigDiskBusterhez rendelt közlemény nem volt azonosítható.
A nyilvános demonstráció pedig önmagában nem bizonyít éles támadási kampányt. Az ellenőrzött beszámolók nem igazolták, hogy bűnözők valós behatolásokban alkalmazták volna ezt a konkrét technikát.
A Defender futhat, miközben elmaradnak a frissítései
A BigDiskBuster a leírt működés szerint nem közvetlenül kapcsolja ki a Microsoft Defender Antivirust. A védelem egyik alapvető feltételét, a naprakészséget támadja.
A modern vírusvédelem többféle frissítést használ.
A biztonságiintelligencia-frissítések az új kártevők felismerését támogató szignatúrákat, indikátorokat és észlelési adatokat tartalmazzák. Ezek naponta többször is megjelenhetnek.
A motorfrissítések az ellenőrzést végző technológiát módosítják, míg a platformfrissítések a Defender programösszetevőit, könyvtárait és más működési elemeit frissítik.
A Microsoft dokumentációja szerint a Defender biztonságiintelligencia-frissítései a KB2267602, a havi platformfrissítések pedig a KB4052623 azonosító alatt jelennek meg. A motor frissítéseit a biztonságiintelligencia-frissítések is terjesztik, jellemzően havi kiadási ütemben. A Microsoft frissítési dokumentációja
Egy frissítési akadályozással érintett gépen ezért továbbra is működhet a valós idejű védelem, miközben az alkalmazott helyi felismerési adatok és programösszetevők elavulnak.
A felhasználó azt láthatja, hogy a Defender telepítve van és fut. Ebből azonban nem következik, hogy a legutóbbi frissítés is sikeres volt.
Nem igazolt ugyanakkor, hogy a BigDiskBuster minden környezetben észrevétlen maradna vagy biztosan egészséges állapotjelzés mellett működne. A frissítési hibák láthatósága az alkalmazott felügyelettől, naplózástól és termékverziótól is függ.
A frissítések tartós elmaradása növelheti az észlelési hiányosságokat. A zsarolóvírusok, adatlopó programok és más kártevők változatai gyorsan módosulnak, részben a meglévő felismerési szabályok elkerülése érdekében.
A felhőalapú védelem és a viselkedéselemzés további védelmi réteget jelent, de nem teszi szükségtelenné a helyi biztonságiintelligencia-, motor- és platformfrissítéseket.
A technika ideiglenesen elfoglalja a szabad lemezterületet
A közzétett programról szóló technikai leírás szerint a BigDiskBuster figyeli azokat a könyvtárakat, amelyeket a Defender a platform- és definíciófrissítések előkészítésére használ.
Amikor frissítési tevékenységet észlel, rejtett ideiglenes fájlokhoz foglalja le a rendelkezésre álló tárhelyet. Ezzel mesterséges lemeztelítettséget idéz elő a frissítés érzékeny szakaszában.
A működés nem merül ki a meghajtó egyszeri megtöltésében. A program figyeli a fájlrendszer változásait, és megpróbálja az időközben felszabaduló helyet is elfoglalni.
A leírás szerint a frissítés meghiúsulásának észlelése után felszabadítja a lefoglalt területet és eltávolítja az ideiglenes fájlokat.
A frissítő így átmenetileg nem jut hozzá az új fájlok előkészítéséhez vagy telepítéséhez szükséges helyhez. A sikertelen művelet után azonban a meghajtó ismét rendelkezhet elegendő szabad területtel.
Ez megnehezítheti az ok utólagos felismerését. Az üzemeltető frissítési hibát láthat, miközben az ellenőrzés időpontjában már nem áll fenn tartós tárhelyhiány.
A módszer a beszámoló szerint nem a Defender védett fájljainak közvetlen átírására vagy a szolgáltatás leállítására épül. A frissítés által igényelt erőforrást vonja el.
A figyelt területek között a Defender Platform és Definition Updates könyvtárai szerepelnek. A fájllétrehozási és méretváltozási események újabb tárhelyfoglalást válthatnak ki.
Egy ilyen közvetett akadályozást a felhasználó könnyen összetéveszthet szokásos frissítési hibával, tárolási problémával vagy Windows Update-rendellenességgel.
Helyi kódfuttatás szükséges hozzá
A BigDiskBuster nem olyan távoli belépési pontként ismert, amellyel egy hitelesítés nélküli támadó önmagában, az internet felől veheti át a gépet.
Először futtatnia kell a programot vagy az azonos elvet alkalmazó kódot az érintett Windows-eszközön.
A technika ezért elsősorban a már megszerzett hozzáférés utáni védelemgyengítés szempontjából fontos.
A kezdeti hozzáférés származhat adathalászatból, rosszindulatú letöltésből, ellopott hitelesítő adatokból, elérhető távoli felügyeleti szolgáltatásból vagy más sérülékenység kihasználásából.
Ezt követően a támadó frissítésblokkoló komponenst indíthatna el, majd olyan további kártevőt telepíthetne, amelyet a régebbi felismerési adatok nehezebben azonosítanak.
Ez lehetséges támadási forgatókönyv, nem a BigDiskBusterrel igazolt kampány leírása.
A módszer értéke a támadó számára a védelem megkerülése vagy a tartós hozzáférés támogatása lehet: idővel egyre nagyobb eltérést tarthat fenn a gép helyi védelmi állapota és az aktuális fenyegetések között.
A helyi futtatás követelménye csökkenti a közvetlen, internet felőli tömeges kihasználás lehetőségét. Ettől azonban a kockázat nem válik jelentéktelenné. Sok vállalati behatolás korlátozott felhasználói hozzáféréssel kezdődik, amely után a támadó külön módszerekkel próbálja gyengíteni a végpontvédelmet.
Az UnDefendhez hasonló célt követ
Naceri a BigDiskBustert a korábban közzétett UnDefend megoldáshoz hasonlította.
Az áprilisban ismertetett UnDefend szintén a Defender frissítéseinek akadályozását célozta, és a beszámolók szerint normál Windows-felhasználói jogosultsággal is alkalmazható volt.
A két technika működése eltér, de a céljuk hasonló: megakadályozni, hogy a vírusvédelem megkapja az új fenyegetések felismeréséhez szükséges frissítéseket.
Az UnDefenddel kapcsolatos korábbi javítások vagy támadási megfigyelések nem tekinthetők automatikusan a BigDiskBuster állapotára vonatkozó bizonyítéknak.
A BigDiskBuster egy hosszabb, a Nightmare Eclipse névhez kapcsolódó Windows- és Defender-közzétételi sorozat része.
A kutató április óta közel egy tucat problémát hozott nyilvánosságra vagy ismertetett, köztük a BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma, UnDefend, RoguePlanet, ShieldBreak, ShieldCrash és LegacyHive elnevezésű eseteket.
Ezek nem mind ugyanazt a termékösszetevőt vagy biztonsági funkciót érintik. A beszámolók Microsoft Defender-, BitLocker- és más Windows-problémákról is szóltak.
Egyes hibák helyi jogosultságkiterjesztést vagy SYSTEM szintű kódfuttatást tettek lehetővé, mások frissítési vagy védelmi funkciókat zavartak meg.
A Microsoft több korábbi problémát javított. Minden elnevezésnél külön kell ellenőrizni a hozzá tartozó közleményt, javított verziót és aktuális gyártói álláspontot.
A korábbi eseteknél javításokat újabb megkerülési állítások követtek
A korábbi sérülékenységek egyike, a RoguePlanet, a Microsoft Malware Protection Engine versenyhelyzetére épült.
A CVE-2026-50656 azonosítóhoz kapcsolt probléma helyi hozzáférésből SYSTEM jogosultság megszerzését tehette lehetővé. A júliusi javítást a Malware Protection Engine 1.1.26060.3008 verziójához kötötték.
Ez a verzió a RoguePlanet történeti javítási küszöbe, nem a BigDiskBuster elleni védelem igazolása és nem a jelenleg telepítendő legfrissebb motorverzió.
A később megjelent ShieldBreak kapcsán szintén készült javítás. Naceri ezt követően azt állította, hogy a ShieldCrash nevű megoldása újabb megkerülési lehetőséget biztosít.
A BigDiskBuster ehhez a közzétételi sorozathoz kapcsolódik, de külön, a frissítés akadályozására épülő módszer.
A végpontvédelmi termékeknél az ilyen problémák különösen fontosak. A Defender feladata eleve potenciálisan ellenséges fájlok, szkriptek, archívumok, dokumentumok és memóriatevékenységek vizsgálata.
Ez a szerep kiterjedt hozzáférést és összetett feldolgozást igényel. Egy hiba ezért nemcsak a termék működésére lehet hatással, hanem az egész rendszer védelmét is gyengítheti.
Vita kíséri a kutató közzétételi gyakorlatát
A nyilvánosságra hozatalt Naceri és a Microsoft közötti vita is kíséri.
A kutató saját állítása szerint korábban a Microsoftnál dolgozott, és a közzétételeket az általa méltánytalannak tartott bánásmóddal, illetve munkaviszonyának megszüntetésével is összekapcsolta.
Ezeket az állításokat nem szabad a sérülékenységek technikai igazolásával összemosni. A személyes indokok és a hiba tényleges hatása külön kérdés.
A Microsoft májusban nyilvánosan bírálta több sérülékenység előzetes egyeztetés nélküli közzétételét. A vállalat szerint a részleteket nem kapta meg a nyilvános megjelenés előtt, így kevesebb lehetősége volt a vizsgálatra és az ügyfelek védelmének előkészítésére.
Az állásfoglalás többek között a RedSun, UnDefend, BlueHammer és YellowKey neveket is említette. A Microsoft a koordinált sérülékenység-bejelentés fontosságát hangsúlyozta.
A vállalat azt is közölte, hogy fellép az ügyfeleinek tényleges kárt okozó rosszindulatú tevékenységgel szemben, ugyanakkor a kutatók továbbra is használhatják a hivatalos hibabejelentési csatornát.
A vita a sérülékenységek nyilvánosságra hozatalának ismert feszültségét mutatja. A kutatók úgy érezhetik, hogy egy gyártó figyelmen kívül hagyta vagy nem megfelelően kezelte a jelzésüket. A gyártók szerint viszont a javítás előtti exploitközzététel azonnal használható információt adhat a támadóknak.
Az ügyfelek számára ettől függetlenül az a lényeges, hogy mire képes a módszer, milyen feltételek mellett működik, és milyen védelem érhető el ellene.
Több frissítési forrás sem oldja meg feltétlenül a helyi hibát
A Defender több forrásból is kaphat frissítéseket. Vállalati környezetben ilyen lehet a Microsoft Update, a Windows Server Update Services, a Configuration Manager által kezelt frissítési infrastruktúra vagy egy belső fájlmegosztás.
Tartalék sorrend is konfigurálható, így a végpont másik forrással próbálkozhat, ha az elsődleges nem elérhető.
A BigDiskBuster leírt működése azonban a helyi előkészítési és telepítési lépést zavarja.
Ha a frissítő nem tudja a szükséges fájlokat helyben kiírni, egy további letöltési forrás önmagában nem oldja meg a problémát. A csomag megérkezhet, a telepítés mégis meghiúsulhat.
Ezért a frissítőszerver elérhetősége mellett a telepítés eredményét is figyelni kell.
A „Defender fut” és a „Defender naprakész” két külön állapot.
Az üzemeltetőknek a tényleges biztonságiintelligencia-verziót és az utolsó sikeres frissítés időpontját kell ellenőrizniük.
A Microsoft erre is biztosítja a Get-MpComputerStatus PowerShell-parancsot. A kimenetben többek között az alábbi mezők segítenek:
AntivirusSignatureVersion: a helyi vírusfelismerési adatbázis verziója;AntivirusSignatureLastUpdated: az utolsó frissítés időpontja;AMEngineVersion: a vizsgálómotor verziója;AMProductVersion: a termék vagy platform verziója.
A verziókat az adott szervezet jóváhagyott kiadási csatornájának megfelelő, elvárt állapottal kell összevetni. A Microsoft verzióellenőrzési útmutatója
A Defender for Endpoint vagy más végpontkezelő rendszer jelentéseiben érdemes keresni azokat a gépeket, amelyek egy időben maradnak le, ismételten sikertelenül frissülnek, vagy túllépik a szervezetben megengedett frissítési késést.
Milyen jeleket érdemes kivizsgálni?
A BigDiskBustert elsősorban helyi védelemgyengítési kockázatként célszerű kezelni.
Gyanút kelthet a váratlanul elavult biztonságiintelligencia-adatbázis, a sorozatos frissítési hiba és a rendelkezésre álló tárhely megmagyarázhatatlan változása.
Különösen indokolt a vizsgálat, ha egy gépen a Defender frissítésekor hirtelen szinte teljesen elfogy a szabad hely, majd a sikertelen frissítés után gyorsan visszatér.
Figyelmet érdemelnek azok az ismeretlen folyamatok is, amelyek a Defender ProgramData alatti könyvtáraihoz kapcsolódó tevékenységgel egy időben nagy ideiglenes fájlokat hoznak létre, vagy gyorsan foglalnak le és szabadítanak fel jelentős tárhelyet.
Egyetlen ilyen jel azonban még nem bizonyít BigDiskBuster-futtatást.
A Defender frissítésének számos szokásos hibaforrása lehet: hálózati probléma, hibás WSUS-beállítás, elavult belső megosztás, más biztonsági termékkel fennálló ütközés vagy Windows Update-hiba.
A Microsoft hibaelhárítási útmutatója ezért a frissítési forrás, a hibaüzenetek és a kapcsolódó események vizsgálatát javasolja. A Defender frissítési hibáinak hivatalos hibaelhárítása
Ha viszont az ismétlődő hiba gyanús folyamattal, szokatlan fájlműveletekkel vagy átmeneti tárhely-kimerüléssel jár együtt, lehetséges biztonsági incidensként kell továbbvizsgálni.
Mit tegyenek az üzemeltetők?
A szervezeteknek a frissítések tényleges sikerességét kell ellenőrizniük, és biztosítaniuk kell a Microsoft által közölt felismerési és megelőzési védelemhez szükséges naprakész állapotot.
A javasolt intézkedések:
- Verzióellenőrzés: a szignatúra-, motor- és platformverzió összevetése a szervezet által elvárt kiadásokkal.
- Riasztás az elmaradásra: jelzés, ha a biztonsági intelligencia nem frissül a normál működési időablakon belül.
- Ismétlődő hibák vizsgálata: különösen akkor, ha több frissítési forrás használata mellett is ugyanaz a helyi hiba jelentkezik.
- Tárhelyfigyelés: a nagy ideiglenes fájlok, gyors foglalások és hirtelen szabadterület-változások összekapcsolása a folyamatadatokkal.
- Alkalmazásvezérlés: az ismeretlen vagy nem engedélyezett programok futtatásának korlátozása a szervezet szabályai szerint.
- Többrétegű védelem: a végponti, hálózati és identitásalapú észlelés együttes használata.
- Bizonyítékmegőrzés: a Defender működési naplóinak, a Windows Update-adatoknak és a végponti telemetriának a megőrzése.
- Gyártói közlemények követése: az új felismerések, termékfrissítések és esetleges külön javítás ellenőrzése, majd ellenőrzött, gyors bevezetése.
A többrétegű védelem nem jelenti több, egymással ütköző valós idejű víruskereső egyidejű telepítését. Az egymást kiegészítő észlelési és megelőzési képességek összehangolása a cél.
Ha egy gépen már gyanús tevékenység látható, a frissítés helyreállítása mellett a kezdeti hozzáférést és az esetleges további rosszindulatú műveleteket is vizsgálni kell.
A nyilvános demonstráció nem bizonyít aktív támadási kampányt
A BigDiskBuster közzététele növeli a módszer ismertségét és megkönnyíti annak tanulmányozását. Nem bizonyítja azonban, hogy a technikát zsarolóvírusos, állami hátterű vagy más éles kampányban alkalmazzák.
A minden támogatott Windows-verzióra vonatkozó állítás a kutatótól származik. A Microsoft elérhető nyilatkozata nem tartalmaz részletes, verziónkénti érintettségi listát vagy a kutatói tesztek teljes megerősítését.
A gyártó válasza ugyanakkor fontos változás az eredeti beszámolóhoz képest: a Defender a Microsoft szerint felismeri a BigDiskBustert, és az észlelt tevékenység megelőzésére is rendelkezik védelemmel.
A rendelkezésre álló információkból ezért nem indokolt sem minden Windows-gépet bizonyítottan védtelennek tekinteni, sem azt feltételezni, hogy a probléma minden lehetséges változata végleg megszűnt.
Az üzemeltetési tanulság egyértelmű: a vírusvédelem működésének ellenőrzése csak akkor teljes, ha a frissítések sikerességére is kiterjed.
A futó Defender, a bekapcsolt valós idejű védelem és az elérhető frissítőszerver önmagában nem igazolja a naprakészséget. Ehhez az utolsó sikeres frissítés időpontját, a telepített verziókat és a kapcsolódó eseményeket is látni kell.
Az eredeti angol cikk címe: New Microsoft Defender Zero-Day Blocks Antivirus Security Updates Across Windows.
Szerkesztési megjegyzés: a magyar változat tartalmazza a Microsoft időközben megjelent nyilatkozatát a BigDiskBuster felismeréséről és az észlelt tevékenység elleni megelőző védelemről.
