'BigDiskBuster' оставляет Microsoft Defender запущенным, блокируя обновления

Новая концептуальная техника под названием 'BigDiskBuster' позволяет злоумышленникам нарушить работу механизма обновления Microsoft Defender, не отключая саму службу безопасности. Используя особенности управления дисковым пространством и процессами обновления, этот метод создает скрытый пробел в защите. Инструмент безопасности продолжает работать и сообщать пользователю о нормальном статусе, однако он перестает получать актуальные сигнатуры угроз, оставляя систему уязвимой для новых атак. В отличие от традиционных инструментов типа EDR-killer, которые пытаются завершить процессы безопасности, BigDiskBuster манипулирует средой для предотвращения обновлений, что затрудняет обнаружение компрометации автоматизированными системами мониторинга. Исследователи безопасности подчеркивают, что этот метод не требует использования специфических эксплойтов, полагаясь на логику работы службы обновлений. Организациям рекомендуется следить за необычной активностью диска и убедиться, что обновления безопасности успешно применяются во всей инфраструктуре.