Vielleicht ist es die Abschiedsvorstellung von Chaotic Eclipse: Ein neuer Proof-of-Concept mit dem Namen BigDiskBuster zeigt eine neue Schwachstelle im Update-Prozess von Microsoft Defender. Das Tool kann wohl verhindern, dass Defender Sicherheits- und Plattformupdates erfolgreich installiert. Kurz vor der Veröffentlichung hat sich Chaotic Eclipse selbst geoutet als ehemals deutscher Microsoft-Mitarbeiter.
Das neue Tool verhindert zwar das Update, aber die Schutzsoftware läuft sicher weiter. Allerdings bleibt sie auf einem veralteten Erkennungsstand – ein Risiko, das Angreifer mit Malware nutzen könnten, um länger unentdeckt zu bleiben. BigDiskBuster nutzt laut Chaotic Eclipse keinen klassischen Zugriff auf Defender-Dateien, sondern zielt auf den verfügbaren Speicherplatz des Windows-Systems. Sobald ein Defender-Update ansteht, erzeugt das Tool nach Berichten zu dem veröffentlichten Code eine temporäre Datei, die das freie Laufwerk nahezu vollständig belegt. Das Update scheitert wegen des künstlich herbeigeführten Speicherplatzmangels. Anschließend wird die Datei wieder entfernt; beim nächsten Update-Versuch kann sich der Vorgang wiederholen.
BigDiskBuster: Einfacher Trick könnte Defender-Update behindern
Der Entwickler bezeichnet BigDiskBuster als Proof of Concept, der auf allen derzeit unterstützten Windows-Versionen funktionieren soll. Zugleich weist er darauf hin, dass der veröffentlichte Code noch fehleranfällig sei und überarbeitet werden müsse. Eine CVE-Nummer oder ein klassischer Microsoft-Sicherheitshinweis lag zunächst nicht vor. Microsoft teilte inzwischen jedoch mit, dass Defender die beobachtete BigDiskBuster-Aktivität erkenne und verhindere. Nutzer sollten die Defender-Plattform und Sicherheitsinformationen aktuell halten.
Seit April veröffentlichte Chaotic Eclipse eine Reihe nicht abgestimmter Proofs of Concept zu Windows- und Defender-Schwachstellen. Zu seinen früheren Veröffentlichungen zählen unter anderem UnDefend, ShieldBreak, ShieldCrash und BigDiskBuster. Sicherheitsmedien berichten von mindestens zwölf solchen Zero-Day-Meldungen. Mehrere der veröffentlichten Schwachstellen zielten darauf, Schutzmechanismen von Windows Defender zu umgehen, zu deaktivieren oder Updates zu behindern.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenChaotic Eclipse enthüllt selbst seine wahre Identität
Hinter den Pseudonymen Chaotic Eclipse, Nightmare Eclipse, MSNightmare und Infinite Nightmare steht nach eigener Darstellung der Sicherheitsforscher Abdelhamid Naceri. Er war laut eigenen Angaben früher für Microsoft tätig – unter anderem im Umfeld des Microsoft Security Response Center. Naceri erklärt selbst seine Identität in einem öffentlichen Beitrag auf X.
Bereits veröffentlichte Schwachstellen im Umfeld von Chaotic Eclipse
- BlueHammer – Privilege Escalation in Microsoft Defender, teils bereits aktiv ausgenutzt
- RedSun – weitere Schwachstelle in Defender mit ähnlicher Zielrichtung, ebenfalls für Angriffe relevant
- UnDefend – Angriff auf Schutzmechanismen von Defender, um Erkennung zu umgehen
- YellowKey – Schwachstelle im Zusammenhang mit BitLocker, inklusive veröffentlichter Gegenmaßnahmen
- GreenPlasma / MiniPlasma – weitere lokale Angriffswege zur Rechteausweitung innerhalb von Windows-Systemen
- RoguePlanet – Angriffsmethode, die selbst auf vollständig gepatchten Systemen funktionieren kann
- ShieldBreak – Defender-Exploit umgeht RoguePlanet-Patch