Security researcher Abdelhamid Naceri, známý pod přezdívkou Nightmare Eclipse (dříve vystupoval i jako Chaotic Eclipse, INFINITE NIGHTMARE nebo MSNightmare), zveřejnil 19. září na GitHubu nový Microsoft Defender zero-day s názvem BigDiskBuster. Exploit dokáže dlouhodobě blokovat aktualizace Microsoft Defenderu, konkrétně stahování a instalaci platform updates i signature updates. Nemá přidělené CVE ani oficiální Microsoft advisory.
Jak Microsoft Defender zero-day BigDiskBuster funguje
Nástroj sleduje disk C:\ a čeká, až Defender začne stahovat platform nebo definition update do svých update adresářů. V tu chvíli vytvoří skrytý dočasný soubor, který zaplní veškerý zbývající volný prostor na disku, takže update selže kvůli nedostatku místa. Jakmile Defender kvůli chybě smaže svůj staging adresář, nástroj soubor zase odstraní a čeká na další pokus. Kromě toho si drží otevřený handle na MRT.exe (Windows Malicious Software Removal Tool) způsobem, který brání Windows Update v jeho nahrazení.
Defender po zablokování dál běží, jen jeho detekční obsah postupně zastarává. Naceriho screenshot ukazuje, že Defender při pokusu o update hlásí obecnou Windows chybu, není ale jasné, jestli to zároveň spouští nějaký alert. Naceri sám popisuje nástroj jako „funny tool“, který kompletně brání Defenderu v aktualizaci. Přiznává, že současná verze je ještě nestabilní a bude potřebovat přepsání. Podle jeho slov funguje na všech podporovaných verzích Windows.
Microsoft Defender zero-day v dlouhé sérii exploitů
BigDiskBuster není první ani poslední Microsoft Defender zero-day z Naceriho dílny. Od dubna 2026 vypustil téměř tucet zero-dayů zaměřených hlavně na Microsoft Defender, BitLocker a další komponenty Windows. Mezi nejznámější patří UnDefend z dubna 2026 se stejným principem blokace aktualizací, dále privilege escalation exploity ShieldBreak a ShieldCrash, a řada dalších jako RoguePlanet, LegacyHive, BlueHammer, RedSun, YellowKey, GreenPlasma nebo MiniPlasma.
Zvlášť závažný je fakt, že první tři Naceriho Defender exploity, BlueHammer, RedSun a UnDefend, byly podle HackerNews zneužity při reálných útocích ještě předtím, než je Microsoft stihl opravit. CISA je následně zařadila do katalogu známých zneužívaných zranitelností. To naznačuje, že i tento nový Microsoft Defender zero-day, přestože jde zatím „jen“ o buggy proof of concept, představuje reálné riziko, ne pouze teoretické cvičení.
Microsoft mezitím opravil ShieldBreak, RoguePlanet, YellowKey, GreenPlasma i MiniPlasma. Pro BigDiskBuster a některé další chyby oficiální patch zatím chybí.
Motivace: spor s Microsoftem
Naceri dříve pracoval pro Microsoft ve Velké Británii a Německu, naposledy v Security Response Center. Otevřeně přiznává, že zero-daye vypouští kvůli sporu s firmou kolem svého odchodu, který podle něj proběhl bez jasného důvodu (zdroje se rozcházejí v datu, uvádí se přelom let 2024 a 2025). V nyní smazaném příspěvku na X popsal, že mu Microsoft nabídl několik finančních vyrovnání, která odmítl, protože chtěl formální vysvětlení a pomoc se zůstáním v Německu. Od té doby systematicky publikuje nové exploity bez koordinace s firmou. Microsoft na začátku reagoval varováním před škodlivou aktivitou způsobující reálné škody a naznačil možné právní kroky. K nejnovějšímu Defender zero-day se zatím oficiálně nevyjádřil.
Technická rizika Microsoft Defender zero-day BigDiskBuster
Exploit vyžaduje lokální spuštění a běh na pozadí, nejde tedy o remote code execution. Blokace aktualizací ale znamená postupnou ztrátu ochrany proti novým hrozbám. V kombinaci s dalšími Naceriho zero-dayi, zejména těmi pro privilege escalation, může vzniknout silnější attack chain. Proof of concept je veřejně dostupný, takže je jen otázkou času, kdy ho začnou využívat i méně zkušení útočníci nebo autoři malwaru.
Shrnutí
BigDiskBuster je další v dlouhé řadě Microsoft Defender zero-day exploitů od Abdelhamida Naceriho, tentokrát mířící na základní ochranný mechanismus Windows. Nejde o kritickou remote zranitelnost, ale historie jeho předchozích nástrojů, z nichž tři skončily v reálných útocích, ukazuje, že podceňovat takové PoC se nevyplácí. Microsoft na nový exploit zatím oficiálně nereagoval.
Zdroje:
BleepingComputer (22. 9. 2026): https://www.bleepingcomputer.com/news/security/new-windows-defender-zero-day-blocks-microsoft-antivirus-updates/
The Hacker News: https://thehackernews.com/2026/09/researcher-drops-bigdiskbuster-zero-day.html
SecurityAffairs: https://securityaffairs.com/199538/hacking/chaotic-eclipse-released-bigdiskbuster-a-poc-for-windows-defender-update-dos-zero-day.html
