آخرین برنامه NightmareEclipse مایکروسافت دیفندر را در گذشته گیر کرده است

NightmareEclipse، افشاگر سریال مایکروسافت zero-day، راه دیگری برای خراب کردن ویندوز دیفندر، این بار با جلوگیری از به روز رسانی آنتی ویروس پیدا کرده است. این محقق امنیتی که با نام عبدالحمید ناصری نیز شناخته می‌شود، یک اثبات مفهومی به نام BigDiskBuster منتشر کرد که برای جلوگیری از نصب آنتی‌ویروس Microsoft Defender از نصب پلتفرم و به‌روزرسانی‌های اطلاعاتی امنیتی طراحی شده است. NightmareEclipse گفت: "یک ابزار خنده دار ساخته شده است، به طور کامل مدافع را از به روز رسانی محروم می کند، بنابراین اگر ابزار در پس زمینه در حال اجرا باشد، در نسخه فعلی خود گیر کرده اید."

این محقق BigDiskBuster را شبیه به ابزار قبلی «UnDefend» توصیف می‌کند و ادعا می‌کند که روی همه نسخه‌های پشتیبانی‌شده ویندوز کار می‌کند، اگرچه آنها اذعان دارند که PoC فعلی «کمی باگ است و نیاز به بازنویسی [sic] دارد». این ادعای سازگاری به طور مستقل تأیید نشده است. این ترفند Defender را غیرفعال نمی کند. در عوض، PoC منتظر شروع به‌روزرسانی است، سپس سعی می‌کند درایو را پر کند تا فضای کافی برای اتمام آن وجود نداشته باشد.

کد این کار را با ایجاد فایل‌های موقت مخفی به‌اندازه‌ای برای مصرف فضای آزاد درایو انجام می‌دهد و رشته‌های اضافی را در صورت نیاز برای ادعای بیشتر می‌چرخاند. هنگامی که تشخیص داد که به روز رسانی Defender شکست خورده است، فایل ها را می بندد و فضا را برمی گرداند. BigDiskBuster همچنین ابزار اجرایی حذف نرم‌افزار مخرب مایکروسافت، MRT.exe را باز می‌کند، به گونه‌ای که دسترسی سایر فرآیندها به فایل را در زمانی که دسته باز است، محدود می‌کند.

نتیجه، به گفته NightmareEclipse، این است که Defender تا زمانی که ابزار مدام در به‌روزرسانی‌ها تداخل داشته باشد، روی پلتفرم فعلی و نسخه‌های اطلاعات امنیتی خود باقی می‌ماند. اسکرین شات منتشر شده در کنار PoC نشان می دهد که Windows Security گزارش می دهد که به روز رسانی تعریف حفاظت با خطای 0x80070643 شکست خورده است. با این حال، این یک خطای نصب عمومی است و به تنهایی دلیلی بر کار BigDiskBuster نیست. گیر دادن Defender در اطلاعات امنیتی قدیمی بدیهی است که ایده آل نیست.

ممکن است آنتی ویروس همچنان در حال اجرا باشد، اما جلوگیری از دریافت آخرین تعاریف تهدید مایکروسافت می‌تواند آن را کمتر بتواند بدافزار تازه شناسایی شده را شناسایی کند. جریان ثابت باگ‌های NightmareEclipse در بحبوحه یک اختلاف عمومی بین محقق و مایکروسافت بر سر فرآیند افشای آسیب‌پذیری این شرکت رخ می‌دهد. این محقق در آوریل شروع به انتشار کدهای روز صفر و اثبات مفهوم ویندوز کرد و مدعی شد که مایکروسافت با آنها بدرفتاری کرده و دسترسی آنها را به سیستم گزارش آسیب پذیری خود قطع کرده است. ردموند دقیقا هیجان زده نبود.

در ماه مه، مایکروسافت از NightmareEclipse به دلیل انتشار آسیب‌پذیری‌ها بدون دادن فرصتی برای رفع آن‌ها انتقاد کرد و گفت که هیچ یک از باگ‌های اولیه از طریق کانال‌های رسمی آن گزارش نشده است. این شرکت همچنین از واحد جرایم دیجیتال خود استناد کرد و گفت که پرونده‌هایی را علیه افرادی که در فعالیت‌های مخرب یا فعال‌کننده جرایم سایبری فعالیت می‌کنند پیگیری خواهد کرد - زبانی که به طور گسترده به عنوان تهدیدی برای اقدام قانونی علیه محقق تعبیر می‌شود. در جامعه امنیتی به همان اندازه که انتظار داشتید پایین آمد.

مایکروسافت متعاقبا این لفاظی‌ها را کنار گذاشت و گفت: «هیچ قصدی برای پیگیری اقدام علیه افرادی که تحقیقات امنیتی انجام می‌دهند یا منتشر می‌کنند، ندارد». با این حال، تا آن زمان، حساب کاربری GitHub قبلی NightmareEclipse نیز به همراه دسترسی به پورتال گزارش آسیب‌پذیری مایکروسافت حذف شده بود. پیشنهاد صلح به دشمنی پایان نداد. NightmareEclipse به انتشار اکسپلویت های ویندوز از جمله RoguePlanet در ژوئن، LegacyHive در جولای، ShieldBreak در آگوست و ShieldCrash در سپتامبر ادامه داد.

چندین مورد از روزهای صفر اولیه محقق از آن زمان توسط مایکروسافت اصلاح شده است، در حالی که برخی از آنها پس از انتشار عمومی در طبیعت مورد سوء استفاده قرار گرفتند. BigDiskBuster یک جانور نسبتا متفاوت است. به جای ارائه یک مسیر واضح برای دسترسی به امتیازات SYSTEM، با یکی از چیزهای اساسی که نرم افزار آنتی ویروس نیاز دارد تداخل دارد: به روز رسانی خود. در حال حاضر هیچ نشانه ای مبنی بر استفاده از BigDiskBuster در حملات دنیای واقعی وجود ندارد و ادعای NightmareEclipse مبنی بر کارکرد آن در تمام نسخه های ویندوز پشتیبانی شده تایید نشده باقی مانده است. ردموند به سوالات The Register پاسخ نداده است.

در این بین، کابوس آن ظاهرا هیچ نشانی از پایان ندارد