A BigDiskBuster nulladik napi sebezhetőség blokkolja a Microsoft Defender frissítéseit

Mit tesz a BigDiskBuster, és hogyan működik a lemezfeltöltő exploit

Egy biztonsági kutató közzétette egy új Microsoft Defender nulladik napi sebezhetőség, a BigDiskBuster proof-of-concept kódját, és a mögötte álló technika üdítően egyszerű a legtöbb, címlapokra kerülő jogosultságnövelő exploithez képest. Ahelyett, hogy memóriakorrupciós hibát használna ki vagy egy biztonsági határt kerülne meg, a BigDiskBuster úgy működik, hogy megtölti a lemezterületet a célgépen. Amint a rendelkezésre álló tárhely alacsonyra csökken, a Microsoft Defender frissítési folyamata csendesen meghiúsul. A vírusirtó tovább fut és normálisan működőnek tűnik, de a platform- és szignatúrafrissítései már nem érkeznek meg.

Ez a különbség számít. A Defender nem omlik össze, és nem dob nyilvánvaló hibákat, amelyek riasztanák a felhasználót vagy az IT-csapatot. Ehelyett csendesen tovább működik elavult detekciós tartalommal, ami azt jelenti, hogy előfordulhat, hogy már nem ismeri fel az újabb kártevőtörzseket, a frissített támadási technikákat vagy a nemrég indexelt fenyegetéseket. Egy támadó számára, aki időt akar nyerni a hasznos teher telepítése előtt, ez a fajta szolgáltatásmegtagadás a frissítési infrastruktúra ellen éppoly hasznos lehet, mint egy közvetlen megkerülés.

Miért nem létezik még javítás vagy tanácsadó

E riport készítésekor nincs CVE-azonosító, nincs Microsoft biztonsági tanácsadó, és nincs javítás, amely a BigDiskBusterrel foglalkozna. Ez a hiány nem szokatlan a frissen nyilvánosságra hozott proof-of-concept exploitok esetében, de rést hagy a védekezők számára. Hivatalos tanácsadó nélkül nincs mérvadó útmutatás az enyhítési lépésekről, nincs súlyossági pontszám, és nincs világos ütemterv a javításra.

Nem ez az első alkalom, hogy a Defender frissítési mechanizmusa nyilvános vizsgálat alá került. A kutatók ismételten találtak kreatív módokat arra, hogy beavatkozzanak abba, ahogyan a beépített vírusirtó új fenyegetési hírszerzést kap. Korábbi közzétételek, köztük a ShieldBreak és egy kapcsolódó Defender nulladik napi sebezhetőség ugyanabból a kutatói közösségből, más mechanizmusokat céloztak meg, de hasonló eredményre jutottak: egy mód arra, hogy a Defender védelmi képességét anélkül csökkentsék, hogy nyilvánvaló riasztásokat váltanának ki. Együttvéve ezek a közzétételek egy olyan biztonsági eszköz képét festik meg, amelyet folyamatosan olyan szögekből próbálnak ki, amelyek ellen a Microsoft nem edzette meg teljesen.

A kizárólag a Microsoft Defenderre támaszkodás kockázata

A Microsoft Defender egy képességekkel rendelkező, ingyenes vírusirtó megoldás, amely a Windows minden modern verziójába be van építve, és sok felhasználó számára ésszerű alapot jelent. De a BigDiskBuster hasznos emlékeztető arra, hogy egyetlen biztonsági eszközt sem, bármennyire is jól integrált az operációs rendszerbe, nem szabad önmagában teljes védelmi stratégiának tekinteni.

Az itteni minta figyelmet érdemel. Ez nem elszigetelt eset. Az olyan álnéven tevékenykedő kutatóknak, mint a Nightmare Eclipse, jól dokumentált történetük van Windows- és Defender-rel kapcsolatos exploitok közzétételében, és e sorozat tizedik bejegyzése a Microsoft számára szintén kényelmetlen pillanatban érkezett. Amikor egyetlen biztonsági termék visszatérő célpontjává válik a nyilvános nulladik napi közzétételeknek, az annak a jele, hogy a mélységi védelemnek, nem pedig egyetlen beépített eszközhöz való márkahűségnek kell vezérelnie azt, ahogyan a hétköznapi felhasználók és szervezetek a védelemre gondolnak.

Többrétegű védelem kiépítése: VPN, DNS-szűrés és további megoldások

A jó hír az, hogy a BigDiskBusterhez hasonló közzétételek kockázatának enyhítéséhez nem szükséges teljesen lecserélni a Defendert. Rétegeket kell köré építeni. Néhány gyakorlati kiegészítés:

• Figyelje proaktívan a lemezterületet. Mivel ez az exploit kifejezetten a rendelkezésre álló tárhely feltöltésétől függ, a szabad lemezterület szemmel tartása és a szokatlan fogyasztásra vonatkozó riasztások beállítása még azelőtt elkaphatja a támadási vektort, hogy a Defender frissítései csendesen leállnának.
• Használjon DNS-szűrést, hogy hálózati szinten blokkolja az ismert rosszindulatú domaineket, függetlenül attól, hogy milyen vírusirtó szignatúrák vannak éppen betöltve.
• Futtasson megbízható VPN-t azokon a hálózatokon, amelyekben nem bízik teljesen, csökkentve a közbeékelődéses támadásoknak és a forgalom elfogásának való kitettséget, amelyek egyébként olyan hasznos terhet szállíthatnának, amelyet az elavult detekciós tartalom kihasználására terveztek.
• Tartson kéznél egy másodlagos vizsgálóeszközt, még akkor is, ha az nem fut folyamatosan, hogy keresztellenőrizhesse a rendszert, ha a Defender frissítési állapota gyanúsnak tűnik.

Ezen intézkedések egyike sem egzotikus vagy drága, és együtt csökkentik az egyetlen meghibásodási ponttól való függőséget.

Mit jelent ez Önnek

Ha Ön tipikus Windows-felhasználó, a BigDiskBuster valószínűleg nem azonnali, ötös riasztási vészhelyzet. A proof-of-concept exploitok működéséhez gyakran helyi hozzáférésre vagy konkrét feltételekre van szükség, és egyelőre nincs jele széles körű, vadon történő kihasználásnak. De a mögöttes tanulság széles körben érvényes: a beépített biztonsági eszközök csendesen leromolhatnak, és lehet, hogy csak túl későn veszi észre. A vírusirtó szoftver, a VPN-ek és a DNS-védelem kiegészítő rétegekként való kezelése, nem pedig önálló megoldásokként, rugalmasabb megközelítés.

Gyakorlati tanulságok:

• Rendszeresen ellenőrizze a rendelkezésre álló lemezterületet, különösen az érzékeny munkát végző gépeken.
• Figyelje a Microsoft válaszát, és haladéktalanul alkalmazza a kiadott javítást vagy tanácsadót.
• Ne támaszkodjon a Microsoft Defenderre mint egyetlen védelmi vonalára; párosítsa DNS-szűréssel és egy megbízható VPN-nel.
• Maradjon tájékozott a visszatérő Defender-közzétételekről, mivel ez egy szélesebb mintázat része, nem pedig egyszeri hiba.

Ahogy a BigDiskBuster Windows Defender nulladik napi sebezhetőség mutatja, még a megbízható, beépített eszközöknek is lehetnek vakfoltjaik. A többrétegű védelem marad a legmegbízhatóbb módja annak, hogy biztonságban tartsa rendszerét, amíg a kutatók és a Microsoft kidolgozzák a javítást.