In questo articolo Indice dei contenuti 2 sezioni
Un nuovo zero-day per Windows Defender è stato diffuso nel fine settimana e il suo effetto è tanto semplice quanto fastidioso, perché impedisce all’antivirus di Microsoft di scaricare gli aggiornamenti. A pubblicarlo è stato il ricercatore di sicurezza Abdelhamid Naceri, noto anche con lo pseudonimo Nightmare Eclipse, che ha battezzato il suo strumento BigDiskBuster. Il funzionamento è quello di un blocco permanente, almeno finché il programma resta attivo in background sulla macchina presa di mira.
Secondo quanto spiegato dallo stesso ricercatore, BigDiskBuster assomiglia molto da vicino a UnDefend, un altro zero-day rilasciato lo scorso aprile che consentiva agli utenti standard, quindi senza privilegi amministrativi, di fermare gli aggiornamenti delle definizioni. Anche in questo caso l’obiettivo sono le definizioni e gli aggiornamenti di piattaforma, quelli che tengono il motore antivirus al passo con le minacce più recenti. Congelare quel flusso significa lasciare un sistema con una protezione ferma a una versione vecchia, senza che l’utente medio se ne accorga davvero.
Cosa fa davvero BigDiskBuster e su quali sistemi funziona
Naceri ha descritto il tutto con un tono piuttosto sbrigativo. “Ho creato uno strumento divertente, nega completamente a Defender la possibilità di aggiornarsi, quindi si resta bloccati con la versione attuale finché il tool gira in background”, ha scritto. E ancora: “Questa proof of concept è simile a UnDefend, impedisce a Windows Defender di eseguire aggiornamenti di piattaforma e firme. Sembra funzionare su tutte le versioni supportate di Windows, ma la PoC è un po’ instabile e andrebbe riscritta, però l’idea si capisce”.
Tradotto in termini pratici, il codice dimostrativo non è rifinito, ma il concetto regge. E il punto sensibile è proprio quello: un attacco di tipo denial of service contro l’antivirus integrato di Windows non ruba dati e non prende il controllo del sistema, semplicemente lo lascia scoperto nel tempo, rendendolo un bersaglio più comodo per qualsiasi malware successivo.
Una lunga sequenza di falle e un contenzioso con Microsoft
Da aprile 2026 Naceri, che afferma di essere un ex dipendente Microsoft, ha pubblicato quasi una dozzina di exploit zero-day. Alla base c’è una disputa aperta con l’azienda, legata a quello che il ricercatore definisce un licenziamento ingiusto avvenuto nel marzo 2025. Non è la prima volta che il suo nome circola in questi ambienti, visto che cinque anni fa aveva già diffuso diversi exploit capaci di ottenere l’escalation di privilegi su varie versioni di Windows.
Due settimane fa era arrivato un altro zero-day per Defender, chiamato ShieldCrash, che garantisce accesso a livello SYSTEM. La pubblicazione era avvenuta subito dopo il rilascio del Patch Tuesday di questo mese, un tempismo tutt’altro che casuale. Sempre secondo il ricercatore, ShieldCrash aggira ShieldBreak, una vulnerabilità di escalation dei privilegi in Defender corretta appena una settimana prima, che a sua volta aggirava RoguePlanet, un altro difetto divulgato a giugno e sistemato da Microsoft a luglio. Una rincorsa continua, insomma, tra patch e nuovi bypass.
L’elenco degli exploit pubblicati quest’anno comprende anche LegacyHive, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e il già citato UnDefend, tutti rivolti contro Microsoft Defender, BitLocker e altri componenti di Windows.
La reazione iniziale di Microsoft era stata un avvertimento su possibili azioni legali verso chiunque fosse coinvolto in “attività malevole che causano danni reali” ai clienti dell’azienda. Una formula che in buona parte della comunità di sicurezza è stata letta come una minaccia diretta al ricercatore.
Nel frattempo, alcune delle falle segnalate da Naceri sono state effettivamente chiuse, tra cui ShieldBreak, RoguePlanet, YellowKey, GreenPlasma e MiniPlasma. Le altre, invece, restano prive di una correzione ufficiale. Sul nuovo zero-day BigDiskBuster e sul blocco degli aggiornamenti antivirus, da Microsoft non è arrivato alcun commento immediato.
Fonte: TecnoAndroid
