Por Canuto  

Una prueba de concepto atribuida al investigador NightmareEclipse busca impedir que Microsoft Defender instale nuevas actualizaciones al consumir temporalmente el espacio libre del disco.
***

  • BigDiskBuster no desactiva Microsoft Defender, pero intenta bloquear sus actualizaciones de plataforma e inteligencia de seguridad.
  • La herramienta crea archivos temporales ocultos para llenar la unidad justo cuando comienza una actualización y luego libera el espacio.
  • La compatibilidad con todas las versiones compatibles de Windows no ha sido verificada y no existen indicios de ataques reales con esta PoC.

El investigador de seguridad conocido como NightmareEclipse, también identificado como Abdelhamid Naceri, publicó una nueva prueba de concepto que busca interferir con el mecanismo de actualización de Microsoft Defender Antivirus. La herramienta, bautizada BigDiskBuster, no apaga el antivirus ni elimina sus componentes, sino que intenta dejarlo utilizando las versiones actuales de su plataforma y de su inteligencia de seguridad mientras la interferencia permanezca activa.

La herramienta fue publicada como una prueba de concepto relacionada con las actualizaciones de Microsoft Defender. Su lanzamiento llega en medio de una disputa pública entre el investigador y Microsoft por la divulgación de vulnerabilidades de Windows.

Cómo funciona BigDiskBuster

El mecanismo descrito para la herramienta aprovecha una necesidad básica de cualquier software de seguridad: contar con espacio suficiente para descargar, procesar e instalar sus actualizaciones. BigDiskBuster espera a que comience una actualización de Defender y, en ese momento, crea archivos temporales ocultos con tamaños calculados para consumir el espacio disponible en la unidad.

La herramienta puede utilizar procesos adicionales cuando necesita reclamar más capacidad, de modo que el almacenamiento libre se reduzca rápidamente durante el proceso de instalación. Una vez que detecta que la actualización de Defender ha fallado, cierra los archivos temporales y devuelve el espacio ocupado, lo que permite que el equipo vuelva a mostrar capacidad disponible sin que la actualización haya terminado correctamente.

NightmareEclipse describió la herramienta como similar a una creación anterior llamada UnDefend y resumió su propósito con una frase deliberadamente informal: “Hice una herramienta graciosa, niega completamente que Defender se actualice, así que te quedas con tu versión actual si la herramienta se ejecuta en segundo plano”. La afirmación presenta el resultado esperado por el investigador, pero no constituye una validación independiente de que la técnica funcione de forma consistente en todos los equipos.

BigDiskBuster también abre el ejecutable MRT.exe, correspondiente a la Herramienta de eliminación de software malintencionado de Microsoft, de una manera que, según la descripción de la PoC, restringe el acceso de otros procesos mientras mantiene abierto el identificador del archivo. La combinación de este bloqueo y el agotamiento temporal del almacenamiento pretende impedir que componentes asociados a la protección de Windows completen sus tareas de mantenimiento.

El riesgo de mantener definiciones antiguas

Una falla de actualización no significa necesariamente que Defender deje de ejecutarse, y esa distinción es central para entender el alcance de la PoC. El antivirus puede continuar activo y examinar archivos con las capacidades que ya tiene instaladas, pero perdería la posibilidad de incorporar con normalidad nuevas definiciones de amenazas y cambios en su plataforma.

Las actualizaciones de inteligencia de seguridad permiten que un producto antivirus reconozca muestras de malware identificadas después de la publicación de su versión anterior. Si un equipo permanece estancado, su capacidad para detectar amenazas recién descubiertas podría reducirse con el tiempo, aunque el material disponible no demuestra que BigDiskBuster produzca una desprotección total ni que evada todos los controles de Windows.

Una captura de pantalla asociada con la prueba de concepto muestra que Seguridad de Windows informa un fallo en la actualización de las definiciones de protección mediante el código 0x80070643. Ese código es un error genérico de instalación y, por sí solo, no permite concluir que BigDiskBuster esté activo ni identificar la causa exacta del problema observado.

La compatibilidad anunciada por NightmareEclipse no ha sido verificada de manera independiente. Además, hasta el momento no hay indicios de que esta herramienta haya sido utilizada en ataques reales, por lo que el escenario descrito corresponde a una prueba publicada por el investigador y no a una campaña confirmada contra usuarios de Windows.

Una disputa abierta con Microsoft

La nueva publicación forma parte de una serie de revelaciones que NightmareEclipse comenzó a difundir en abril, después de afirmar que Microsoft lo había tratado de manera inadecuada y le había retirado el acceso a su sistema de reporte de vulnerabilidades. Desde entonces, el investigador ha publicado código de prueba de concepto y detalles sobre fallas de Windows fuera del proceso oficial de divulgación de la compañía.

En mayo, Microsoft criticó públicamente a NightmareEclipse por divulgar vulnerabilidades sin conceder a la empresa una oportunidad previa para corregirlas. La compañía sostuvo que ninguno de los primeros errores había sido reportado mediante sus canales oficiales y mencionó a su Digital Crimes Unit, en un lenguaje que la comunidad de seguridad interpretó ampliamente como una advertencia de posibles acciones legales contra quienes realizaran o facilitaran actividades maliciosas.

La reacción del sector llevó posteriormente a Microsoft a aclarar su postura sobre las acciones legales contra investigadores de seguridad y a reafirmar su compromiso con la divulgación coordinada de vulnerabilidades. Para entonces, sin embargo, la cuenta anterior de NightmareEclipse en GitHub había sido eliminada y el investigador también había perdido el acceso al portal de reporte de vulnerabilidades de Microsoft.

El conflicto no terminó con esa rectificación. NightmareEclipse continuó difundiendo exploits y pruebas de concepto, entre ellos RoguePlanet en junio, LegacyHive en julio, ShieldBreak en agosto y ShieldCrash en septiembre, mientras Microsoft parcheaba algunas de las fallas anteriores y otras eran explotadas en la práctica después de hacerse públicas.

Qué diferencia a esta PoC

Varios de los trabajos anteriores del investigador se enfocaban en vulnerabilidades con rutas más directas hacia privilegios SYSTEM, un nivel de control especialmente sensible dentro de Windows. BigDiskBuster plantea un problema distinto, porque ataca una función operativa que suele pasar desapercibida: la capacidad del antivirus para mantenerse actualizado frente a amenazas nuevas.

El diseño también muestra por qué una herramienta no necesita desactivar por completo un producto de seguridad para reducir su efectividad. Si logra interrumpir repetidamente el proceso de actualización, puede dejar al sistema con una base de conocimiento desactualizada, aunque Defender siga apareciendo como habilitado y continúe realizando análisis con los componentes que ya tiene instalados.

Sin embargo, la información disponible no permite afirmar que la prueba de concepto constituya una vulnerabilidad confirmada en todas las ediciones compatibles de Windows. NightmareEclipse reconoció que la versión publicada es defectuosa, la compatibilidad general no ha sido comprobada de forma independiente y el error 0x80070643 puede aparecer por otras razones durante una instalación.

Microsoft no había respondido a las preguntas formuladas sobre BigDiskBuster al momento de la publicación. Mientras la empresa no evalúe públicamente el código y determine si existe una corrección o una medida de mitigación, el caso permanece en el terreno de una demostración polémica, con un riesgo potencial que dependerá de su reproducibilidad y de su eventual adopción por atacantes.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados