Le dernier jour zéro de NightmareEclipse laisse Microsoft Defender coincé dans le passé

Le leaker Zero Day de Microsoft, NightmareEclipse, a trouvé un autre moyen de jouer avec Windows Defender, cette fois en empêchant l’antivirus de se mettre à jour.

Le chercheur en sécurité, également connu sous le nom d’Abdelhamid Naceri, a publié une preuve de concept baptisée « BigDiskBuster » conçue pour empêcher Microsoft Defender Antivirus d’installer des mises à jour de plateforme et de sécurité.

« C’est un outil amusant qui empêche complètement Defender de mettre à jour, vous êtes donc bloqué avec votre version actuelle si l’outil s’exécute en arrière-plan », a déclaré NightmareEclipse.

Le chercheur décrit BigDiskBuster comme similaire à son précédent outil « UnDefend » et affirme qu’il fonctionne sur toutes les versions prises en charge de Windows, bien qu’il admette que le PoC actuel est « un peu bogué et nécessite une réécriture (sic) ». Cette affirmation de compatibilité n’a pas été vérifiée de manière indépendante.

L’astuce ne désactive pas Defender. Au lieu de cela, le PoC attend qu’une mise à jour démarre, puis essaie de remplir le lecteur afin qu’il n’y ait pas assez d’espace pour qu’elle se termine.

Pour ce faire, le code crée des fichiers temporaires cachés dimensionnés pour consommer l’espace libre du lecteur, en créant des threads supplémentaires si nécessaire pour en réclamer davantage. Une fois qu’il détecte que la mise à jour de Defender a échoué, il ferme les fichiers et restitue l’espace.

BigDiskBuster ouvre également l’exécutable de l’outil de suppression de logiciels malveillants de Microsoft, MRT.exe, de manière à restreindre l’accès des autres processus au fichier pendant que le handle reste ouvert.

Le résultat, selon NightmareEclipse, est que Defender reste bloqué sur sa plate-forme actuelle et ses versions de sécurité tant que l’outil continue d’interférer avec les mises à jour.

Une capture d’écran publiée avec le PoC montre que la sécurité Windows signale qu’une mise à jour de la définition de protection a échoué avec l’erreur 0x80070643. Il s’agit cependant d’une erreur d’installation générique et ne constitue pas en soi une preuve que BigDiskBuster est à l’œuvre.

Laisser Defender coincé sur d’anciens renseignements de sécurité n’est évidemment pas idéal. L’antivirus est peut-être toujours en cours d’exécution, mais l’empêcher de recevoir les dernières définitions de menaces de Microsoft pourrait le rendre moins capable d’identifier les logiciels malveillants nouvellement détectés.

Le flux constant de bugs de NightmareEclipse survient au milieu d’une dispute très publique entre le chercheur et Microsoft au sujet du processus de divulgation des vulnérabilités de l’entreprise. Le chercheur a commencé à supprimer les codes Zero Day et de validation de principe de Windows en avril, affirmant que Microsoft les avait maltraités et leur avait coupé l’accès à son système de rapport de vulnérabilité.

Redmond n’était pas vraiment ravi. En mai, Microsoft a critiqué NightmareEclipse pour avoir publié des vulnérabilités sans lui donner la possibilité de les corriger au préalable, affirmant qu’aucun des bogues initiaux n’avait été signalé via ses canaux officiels. La société a également invoqué son unité de lutte contre la criminalité numérique, affirmant qu’elle poursuivrait les poursuites contre les personnes engagées dans des activités malveillantes ou favorisant la cybercriminalité – un langage largement interprété comme une menace de poursuites judiciaires contre le chercheur.

Cela s’est passé à peu près aussi bien que prévu avec la communauté de la sécurité. Microsoft est ensuite revenu sur cette rhétorique, affirmant qu’il n’avait « aucune intention de poursuivre des mesures contre les individus menant ou publiant des recherches sur la sécurité ». Cependant, à ce moment-là, le précédent compte GitHub de NightmareEclipse avait également été supprimé, ainsi que l’accès au portail de rapport de vulnérabilité de Microsoft.

L’offre de paix n’a pas mis fin à la querelle. NightmareEclipse a continué à publier des exploits Windows, notamment RoguePlanet en juin, LegacyHive en juillet, ShieldBreak en août et ShieldCrash en septembre. Plusieurs des premiers zero-days du chercheur ont depuis été corrigés par Microsoft, tandis que certains ont été exploités dans la nature après leur publication.

BigDiskBuster est une bête assez différente. Plutôt que de fournir un accès évident aux privilèges SYSTÈME, il interfère avec l’une des choses de base dont un logiciel antivirus a besoin : se mettre à jour.

Rien n’indique actuellement que BigDiskBuster a été utilisé dans des attaques réelles, et l’affirmation de NightmareEclipse selon laquelle il fonctionne sur toutes les versions de Windows prises en charge reste non vérifiée.

Redmond n’a pas répondu à Le registreles questions. En attendant, son Cauchemar ne montre apparemment aucun signe de fin.®