「Microsoft Defender」のゼロデイ脆弱性（？）「BigDiskBuster」が公開されるも……

「Microsoft Defender」のゼロデイ脆弱性（？）「BigDiskBuster」。「GitHub」の公開先には現在アクセスできない

　「Microsoft Defender」の定義更新を妨害するという概念実証（PoC）「BigDiskBuster」が「GitHub」で公開され、セキュリティ界隈で話題を呼んでいます。米メディア「The Hacker News」が9月22日（現地時間）に報じました。

　それによると、「BigDiskBuster」の原理は割とシンプルで、ディスクの空き容量を埋めてしまうことで「Defender」のプラットフォーム更新や定義更新を失敗させるというもの。「Defender」自体は動き続けるものの、マルウェアを検出するための定義ファイルが古いままになってしまうので、システムがセキュリティ攻撃に対して脆弱になるというわけです。

　「BigDiskBuster」を考案したのは、以前ドイツのMicrosoftに勤めていたというセキュリティ研究者、Abdelhamid Naceri氏。本人によると解雇でMicrosoftと揉めたそうで、以降は同社と調整せず、『Nightmare Eclipse』『Chaotic Eclipse』『MSNightmare』といったハンドルでMicrosoft製品のゼロデイ脆弱性を立て続けに公開していました。過去に公開した「Defender」向けの脆弱性――「BlueHammer」、「RedSun」、「UnDefend」――は、いずれもMicrosoftが修正する前に実際の攻撃で悪用され、米CISAの「悪用が確認された脆弱性カタログ」（KEV）にも登録済み。

　もっとも、今回の「BigDiskBuster」は、報道時点では第三者による動作確認が取れておらず、脆弱性であると断言できるかは怪しいところ。作者自身も『少しバグがあり、書き直しが必要』と認めており、『サポート対象のすべてのWindowsで動作するようだ』という本人の説明も、まだ裏付けがありません。

　また、脆弱性（？）の仕組みが『ディスクを使い切って書き込めなくする』というシンプルなものだけに、「Reddit」では『それをゼロデイと呼ぶべきなのか』という冷ややかな声も上がっています。公開者の動機や、月例更新の直後にPoCを公開するタイミングを疑問視するコメントも見られます。

　ちなみに、「BigDiskBuster」はすでに撤回された模様。公表していた「GitHub」ページは、本稿執筆時点ですでにアクセスできなくなっています。Microsoftもコメントを出していません。