عملکرد مایکروسافت دیفندر پس از اختلال در به‌روزرسانی
اختلال در فرآیند به‌روزرسانی، فعالیت مایکروسافت دیفندر را متوقف نمی‌کند، اما این محصول دیگر نمی‌تواند جدیدترین اطلاعات شناسایی تهدیدها را دریافت کند. در آزمایش BigDiskBuster، مایکروسافت دیفندر هنگام تلاش برای دریافت به‌روزرسانی، یک خطای عمومی ویندوز نمایش می‌دهد. با این حال، مشخص نیست این خطا هنگام ناموفق بودن فرآیند به‌روزرسانی، هشداری خودکار برای کاربر یا ادمین سیستم ایجاد می‌کند یا خیر؛ زیرا خود PoC نیز اطلاعاتی درباره این موضوع ارائه نمی‌دهد.
سابقه عبدالحمید ناصری در اکسپلویت‌های دیفندر
عبدالحمید ناصری اعلام کرده است که در سال 2024 از مرکز پاسخ‌گویی امنیتی مایکروسافت (Microsoft Security Response Center) برکنار شده و از ماه آوریل تاکنون، اکسپلویت‌های خود را بدون هماهنگی با مایکروسافت منتشر کرده است.
سه ابزار نخست او برای مایکروسافت دیفندر با نام‌های BlueHammer، RedSun و UnDefend پیش از انتشار پچ از سوی مایکروسافت، در حملات واقعی مورد سوءاستفاده قرار گرفتند. آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) نیز هر سه مورد را در فهرست KEV قرار داده است. ناصری پس از آن نیز تقریباً ماهی یک‌بار، آسیب‌پذیری‌های جدیدی را در مایکروسافت دیفندر و ویندوز افشا کرده است.
نحوه مختل کردن به‌روزرسانی دیفندر توسط BigDiskBuster
BigDiskBuster درایو C:\ را زیر نظر می‌گیرد و دایرکتوری‌های جدید ایجادشده در مسیرهای مربوط به به‌روزرسانی مایکروسافت دیفندر را شناسایی می‌کند. هنگامی که دیفندر دریافت یک به‌روزرسانی پلتفرم یا به‌روزرسانی اطلاعات امنیتی را آغاز می‌کند، یک فایل موقت مخفی ایجاد می‌شود که تمام فضای آزاد باقی‌مانده دیسک را اشغال می‌کند. در نتیجه، فضای کافی برای ادامه فرآیند به‌روزرسانی وجود نخواهد داشت و عملیات متوقف می‌شود.
پس از ناموفق بودن فرآیند به‌روزرسانی و حذف دایرکتوری آماده‌سازی توسط دیفندر، فایل ایجادشده نیز حذف می‌شود و ابزار تا اجرای مجدد فرآیند به‌روزرسانی توسط دیفندر منتظر می‌ماند. همچنین این ابزار یک شناسه دسترسی (Handle) برای فایل MRT.exe، یعنی ابزار حذف نرم‌افزارهای مخرب ویندوز (Windows Malicious Software Removal Tool) ایجاد می‌کند؛ در نتیجه، ممکن است سرویس به‌روزرسانی ویندوز (Windows Update) نتواند این فایل را با نسخه جدید جایگزین کند.
ناصری این ابزار را «نسبتاً باگ‌دار و نیازمند بازنویسی» توصیف کرده و گفته است که ظاهراً روی تمام نسخه‌های پشتیبانی‌شده ویندوز قابل اجراست. با این حال، تاکنون هیچ پژوهشگر مستقلی عملکرد و ادعاهای مطرح‌شده درباره آن را تأیید نکرده است.
تفاوت BigDiskBuster با UnDefend
عبدالحمید ناصری BigDiskBuster را مشابه UnDefend می‌داند. UnDefend یک آسیب‌پذیری انکار سرویس (DoS) در مایکروسافت دیفندر بود که ناصری آن را در ماه آوریل افشا کرد. این آسیب‌پذیری با سازوکاری متفاوت، مانع دریافت به‌روزرسانی‌های اطلاعات امنیتی دیفندر می‌شد. مایکروسافت این آسیب‌پذیری را در ماه می با شناسه CVE-2026-45498 و در نسخه 4.18.26040.7 از پلتفرم ضدبدافزار (Antimalware) برطرف کرد.
این دو ابزار از سازوکارهای متفاوتی برای مختل کردن فرآیند به‌روزرسانی استفاده می‌کنند. UnDefend با مصرف کنترل‌نشده منابع (Uncontrolled Resource Consumption) مانع دریافت به‌روزرسانی‌ها می‌شد، در حالی که BigDiskBuster با پر کردن فضای دیسک، اجازه نمی‌دهد دایرکتوری‌های مربوط به به‌روزرسانی دیفندر فضای بیشتری اشغال کنند.
هنوز مشخص نیست که پچ منتشرشده توسط مایکروسافت در ماه می، این روش جدید را نیز پوشش می‌دهد یا خیر. با توجه به تفاوت سازوکار این دو روش، مشخص نیست پچ مذکور بتواند در برابر تکنیک جدید نیز از سیستم‌ها محافظت کند.
اقدامات امنیتی برای جلوگیری از اختلال در به‌روزرسانی دیفندر
تاکنون، مایکروسافت برای BigDiskBuster پچ یا راهکار جایگزینی (Workaround) منتشر نکرده است. ادمین‌ها می‌توانند برای بررسی آخرین نسخه پلتفرم دیفندر، در امنیت ویندوز (Windows Security) به بخش محافظت در برابر ویروس و تهدیدها (Virus & threat protection) و سپس به‌روزرسانی‌های حفاظتی (Protection updates) مراجعه کرده و گزینه بررسی برای به‌روزرسانی (Check for updates) را انتخاب کنند.
در پاورشل (PowerShell) نیز با اجرای دستور Get-MpComputerStatus می‌توان نسخه‌های فعلی دیفندر را در فیلدهای AMEngineVersion و AMProductVersion مشاهده کرد.
برای شناسایی این تکنیک، ادمین‌ها می‌توانند ناموفق بودن مکرر فرآیند به‌روزرسانی دیفندر، کاهش مداوم فضای آزاد درایو سیستم و ایجاد فایل‌های مخفی بزرگ در دایرکتوری‌های موقت را زیر نظر داشته باشند. همچنین محدود کردن اجرای فایل‌های اجرایی ناشناخته با استفاده از کنترل اپلیکیشن‌های ویندوز دیفندر (WDAC) یا AppLocker می‌تواند امکان اجرای این ابزار توسط مهاجم را کاهش دهد.
