สรุปสั้น
มีการเผยแพร่เครื่องมือ proof-of-concept (PoC) แบบ zero-day ชื่อ BigDiskBuster ขึ้นบน GitHub เมื่อวันที่ 19 กันยายน โดยเครื่องมือนี้ทำหน้าที่หยุดไม่ให้ Microsoft Defender ติดตั้งอัปเดตแพลตฟอร์มและฐานข้อมูลลายเซ็นไวรัส ด้วยวิธีสร้างไฟล์ถมพื้นที่ว่างบนดิสก์จนเต็มในจังหวะที่ Defender กำลังจะดาวน์โหลดอัปเดต ผู้พัฒนาคือนาย Abdelhamid Naceri อดีตนักวิจัยด้านความมั่นคงของ Microsoft ที่เคยปล่อยช่องโหว่ Defender หลายตัวซึ่งถูกนำไปใช้โจมตีจริงมาแล้ว จุดที่น่ากังวลคือเครื่องมือนี้ยังไม่มีหมายเลข CVE ไม่มีแพตช์ และไม่มีคำแนะนำอย่างเป็นทางการจากบริษัท Microsoft เมื่อการอัปเดตถูกขวางไว้ Defender จะยังทำงานต่อไปได้ แต่เนื้อหาการตรวจจับจะค่อย ๆ เก่าลงเรื่อย ๆ ทำให้ตรวจจับภัยใหม่ ๆ ได้ด้อยลง โดยยังไม่ชัดเจนว่าการอัปเดตที่ล้มเหลวนี้จะสร้างการแจ้งเตือนอัตโนมัติให้ผู้ดูแลระบบทราบหรือไม่
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กันยายน พ.ศ. 2569 ว่า มีการปล่อยเครื่องมือ zero-day ชื่อ BigDiskBuster ที่หยุดการอัปเดตของ Microsoft Defender ด้วยการถมพื้นที่ดิสก์ที่เหลืออยู่จนหมด เครื่องมือนี้ถูกอัปโหลดขึ้น GitHub เมื่อวันที่ 19 กันยายน
ผู้พัฒนาคือนาย Abdelhamid Naceri ซึ่งระบุว่าตนถูกให้ออกจากศูนย์ Microsoft Security Response Center เมื่อปี 2567 และตั้งแต่เดือนเมษายนเป็นต้นมาก็ปล่อยโค้ดโจมตีออกสู่สาธารณะโดยไม่ประสานงานกับทางบริษัทอีก เครื่องมือ Defender สามตัวแรกของเขา ได้แก่ BlueHammer, RedSun และ UnDefend ล้วนถูกนำไปใช้ในการบุกรุกจริงก่อนที่ Microsoft จะออกแพตช์ และ CISA ได้เพิ่มทั้งสามตัวเข้าสู่แคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities) หลังจากนั้นเขายังทยอยเปิดเผยช่องโหว่ของ Defender และ Windows เพิ่มขึ้นในอัตราประมาณเดือนละครั้ง
นาย Naceri อธิบายว่า BigDiskBuster “ยังมีบั๊กอยู่บ้างและต้องเขียนใหม่บางส่วน” แต่ดูเหมือนจะใช้งานได้กับ Windows ทุกรุ่นที่ยังอยู่ในการสนับสนุน โดยยังไม่มีนักวิจัยอิสระรายใดยืนยันพฤติกรรมที่เขากล่าวอ้าง ภาพหน้าจอที่เขาแสดงให้เห็นว่า Defender คืนค่าข้อความแสดงข้อผิดพลาดทั่วไปของ Windows เมื่อพยายามอัปเดต
วิธีการทำงาน
BigDiskBuster จะเฝ้าดูไดรฟ์ C:\ เพื่อรอการสร้างไดเรกทอรีใหม่ภายใต้เส้นทางที่ Defender ใช้เก็บไฟล์อัปเดต เมื่อ Defender เริ่มดาวน์โหลดอัปเดตแพลตฟอร์มหรือฐานข้อมูลลายเซ็น เครื่องมือจะสร้างไฟล์ชั่วคราวแบบซ่อนที่มีขนาดใหญ่พอจะกินพื้นที่ว่างที่เหลือทั้งหมด ทำให้การอัปเดตล้มเหลวเพราะไม่มีที่ให้เขียนไฟล์
เมื่อการอัปเดตล้มเหลวและ Defender ลบไดเรกทอรีเตรียมข้อมูลของตัวเองออกไป เครื่องมือจะลบไฟล์ถมดิสก์นั้นทิ้งแล้วรอรอบการอัปเดตครั้งถัดไป นอกจากนี้ยังเปิด handle ค้างไว้กับไฟล์ MRT.exe ซึ่งเป็นเครื่องมือกำจัดซอฟต์แวร์ที่เป็นอันตราย (Malicious Software Removal Tool) ของ Windows ในลักษณะที่จะขวางไม่ให้ Windows Update เข้าไปแทนที่ไฟล์ดังกล่าวได้
นาย Naceri อธิบายว่า BigDiskBuster “คล้ายกับ UnDefend” ซึ่งเป็นช่องโหว่แบบ denial-of-service ของ Defender ที่เขาเปิดเผยเมื่อเดือนเมษายนและใช้ขวางการอัปเดตฐานข้อมูลด้วยวิธีที่ต่างออกไป โดย UnDefend อาศัยการใช้ทรัพยากรจนหมดแบบควบคุมไม่ได้ ขณะที่ BigDiskBuster ถมดิสก์จนไดเรกทอรีอัปเดตของ Defender ขยายตัวไม่ได้ Microsoft ได้แพตช์ UnDefend ไปเมื่อเดือนพฤษภาคมในชื่อ CVE-2026-45498 บน Antimalware Platform เวอร์ชัน 4.18.26040.7 แต่ยังไม่ชัดว่าแพตช์ตัวนั้นจะครอบคลุมเทคนิคใหม่นี้ด้วยหรือไม่ ซึ่งจากกลไกที่ต่างกันก็มีแนวโน้มว่าจะไม่ครอบคลุม
ผลกระทบ
ผลกระทบหลักไม่ใช่การเจาะเข้าเครื่องโดยตรง แต่เป็นการทำให้เกราะป้องกันขององค์กรเสื่อมสภาพอย่างเงียบ ๆ เมื่อ Defender ไม่สามารถอัปเดตลายเซ็นและแพลตฟอร์มได้ ตัวโปรแกรมจะยังแสดงสถานะว่ากำลังทำงานอยู่ แต่ความสามารถในการตรวจจับมัลแวร์ตัวใหม่จะลดลงตามเวลาที่ผ่านไป ผู้โจมตีที่รันเครื่องมือนี้ได้บนเครื่องเป้าหมายจึงสามารถเปิดช่องให้เพย์โหลดที่ Defender เคยตรวจจับได้ผ่านเข้ามาในภายหลัง เนื่องจากยังไม่มี CVE และไม่มีแพตช์ องค์กรที่พึ่งพา Defender เป็นเกราะหลักบนเอนด์พอยต์จึงตกอยู่ในภาวะที่ต้องเฝ้าระวังด้วยตัวเองไปก่อน อย่างไรก็ตามการโจมตีนี้ต้องอาศัยการรันโค้ดบนเครื่องเป้าหมายอยู่แล้ว จึงเป็นเครื่องมือสำหรับรักษาการเข้าถึงและลดการถูกตรวจจับมากกว่าจะเป็นช่องทางบุกรุกเริ่มต้น
คำแนะนำ
ในเมื่อยังไม่มีแพตช์หรือวิธีแก้จากผู้ผลิตสำหรับ BigDiskBuster ผู้ดูแลระบบควรตรวจสอบว่าลายเซ็นและเวอร์ชันแพลตฟอร์มของ Defender เป็นรุ่นล่าสุดผ่าน Windows Security ในหัวข้อ Virus & threat protection แล้วไปที่ Protection updates และกด Check for updates ส่วนใน PowerShell สามารถใช้คำสั่ง Get-MpComputerStatus เพื่อดูเวอร์ชันปัจจุบันในฟิลด์ AMEngineVersion และ AMProductVersion
นอกจากนี้ควรเฝ้าระวังสัญญาณของการอัปเดต Defender ที่ล้มเหลวซ้ำ ๆ พื้นที่ว่างบนไดรฟ์ระบบที่ต่ำผิดปกติต่อเนื่อง และไฟล์ซ่อนขนาดใหญ่ในไดเรกทอรีชั่วคราว การจำกัดไม่ให้รันไฟล์ไบนารีที่ไม่รู้จักด้วย WDAC หรือ AppLocker จะช่วยลดโอกาสที่ผู้โจมตีจะรันเครื่องมือนี้ได้