Zero-Day-Exploit hält Microsoft Defender auf veraltetem Stand

Ein neuer Zero-Day-Exploit hindert Microsoft Defender daran, seine Schutzdaten zu aktualisieren. Der Sicherheitsforscher Abdelhamid Naceri, der unter dem Namen Nightmare Eclipse bekannt ist, hat den Code unter dem Namen "BigDiskBuster" veröffentlicht.

Keine Updates mehr

Nach Angaben des Forschers funktioniert das Werkzeug auf allen derzeit unterstützten Windows-Versionen. Unabhängig bestätigt ist diese Reichweite bislang allerdings nicht. BigDiskBuster deaktiviert laut Naceris Angaben den Virenschutz dabei nicht vollständig. Stattdessen verhindert der Exploit, dass Defender neue Plattform- und Signatur-Updates installiert.

Dazu beobachtet der Proof-of-Concept-(PoC)-Code den für Defender vorgesehenen Speicherbereich und belegt während eines laufenden Aktualisierungsvorgangs den verfügbaren Speicherplatz mit temporären Dateien. Dadurch kann die Aktualisierung nicht abgeschlossen werden. Nach einem fehlgeschlagenen Update wird der Speicher wieder freigegeben.


Für betroffene Systeme bedeutet das, dass Defender zwar weiter aktiv ist, aber mit einem veralteten Stand der Schutzinformationen arbeitet. Neue Schadprogramme, die erst nach dem letzten erfolgreichen Update in der Signatur-Datenbank hinzugefügt wurden, könnten dadurch möglicherweise nicht zuverlässig identifiziert werden. Naceri bezeichnete BigDiskBuster als Weiterentwicklung seines bereits im April veröffentlichten "UnDefend". Auch dieser Zero-Day zielte darauf ab, Updates von Microsoft Defender zu blockieren, verwendete dafür jedoch eine andere Methode.

Code noch nicht perfekt

Der aktuelle PoC ist laut Naceri noch fehlerhaft und müsse überarbeitet werden. Einen offiziellen Patch oder eine Stellungnahme von Microsoft zu BigDiskBuster gibt es bislang nicht. Auch ein Einsatz des neuen Exploits in realen Angriffen ist derzeit nicht bekannt.

Die Veröffentlichung reiht sich in einen seit Monaten andauernden Konflikt zwischen Naceri und Microsoft ein. Der Forscher hat seit April zahlreiche Zero-Days für Windows und Defender veröffentlicht, darunter "RoguePlanet", "ShieldBreak" und zuletzt "ShieldCrash". Einige der Schwachstellen hat Microsoft inzwischen geschlossen. Bei anderen stehen entsprechende Korrekturen weiterhin aus.

Siehe auch: