Microsoft Defenderの更新を妨げるPoC公開。定義を古いまま固定

Windows のゼロデイ脆弱性を相次いで公開してきたセキュリティ研究者 NightmareEclipse（Abdelhamid Naceri 氏）が、Microsoft Defender Antivirus の更新を妨害する概念実証（PoC）「BigDiskBuster」を公開した。The Register が伝えた。研究者は、以前公開した「UnDefend」に近いツールだとし、サポート中のすべての Windows で動くと主張している。ただしこの主張は独自に検証されておらず、本人も現状のコードは不具合があり書き直しが必要だと認めている。

仕組みは Defender を止めるのではなく、更新だけを失敗させるものだ。PoC は Defender の更新が始まるのを待ち、ドライブの空き容量を食い尽くす大きさの隠し一時ファイルを作る。足りなければスレッドを増やしてさらに領域を確保し、更新の失敗を検知したらファイルを閉じて容量を返す。加えて、悪意のあるソフトウェアの削除ツール MRT.exe を、他のプロセスがアクセスしにくい形で開いたままにする。結果として、ツールが動いている限り、Defender は現在のプラットフォームとセキュリティインテリジェンス（定義）の版に留め置かれる。

公開された画面には定義更新の失敗とエラー 0x80070643 が表示されているが、これは汎用的なインストールエラーで、それだけでは BigDiskBuster の作用とは断定できない。とはいえ、定義が古いままだと、新たに見つかったマルウェアを検出できないおそれがある。権限昇格のように直接的な侵入手段ではないが、防御の基本である更新を狙う点が特徴だ。

背景には、研究者と Microsoft の脆弱性報告をめぐる対立がある。研究者は4月以降、Microsoft から不当な扱いを受け報告窓口へのアクセスを断たれたとして、ゼロデイと PoC を公開し続けている。Microsoft は5月、修正の機会を与えずに公開したと批判し、Digital Crimes Unit の名を出して法的措置を示唆したと受け止められた。その後、研究の公開を理由に個人を追及する意図はないと軌道修正したが、研究者の以前の GitHubアカウントと報告窓口へのアクセスはすでに失われていた。これまでのゼロデイの一部は修正済みだが、公開後に実際の攻撃で悪用されたものもある。今回の BigDiskBuster については、現時点で実際の攻撃に使われた形跡はない。