Microsoft Defenderの更新をディスク満杯にして妨害するゼロデイ実証コード「BigDiskBuster」が公開
要点
- セキュリティ研究者が、Microsoft Defenderのアップデートを阻止するゼロデイ実証コード「BigDiskBuster」をGitHubで公開した。
- ディスクの空き容量を一時ファイルで埋め尽くすことで、Defenderの更新ファイル保存を失敗させる手法を用いている。
- 現時点で修正パッチやCVE番号、マイクロソフトによる公式アドバイザリは存在しない。
- ツール公開者は元マイクロソフトの研究者であり、過去に同氏が公開したツールは修正前に実際のサイバー攻撃で悪用された経緯がある。
- 管理者向けには、PowerShell等を用いた手動での更新確認や、アプリ実行制御機能によるツールの実行制限などが推奨されている。
2026年9月19日、セキュリティ研究者のアブデルハミド・ナセリ（Abdelhamid Naceri）氏が、Windowsの標準セキュリティ機能「Microsoft Defender」のアップデートを妨害するゼロデイ（修正プログラムが存在しない状態）の実証コード（PoC）「BigDiskBuster」をGitHub上で公開した。
このツールは、ディスクの空き容量を一時的に枯渇させることで、Defenderのプラットフォーム更新および定義ファイル（シグネチャ）の更新処理を失敗させる仕組みを持つ。現時点で本件に対するマイクロソフトからの公式アドバイザリ（注意喚起）や修正パッチは提供されておらず、CVE（共通脆弱性識別子）番号も割り当てられていない。
「BigDiskBuster」の動作メカニズムと影響
BigDiskBusterは、システムドライブ（C:\）内にあるDefenderの更新用ディレクトリを常時監視する。Defenderがプラットフォームや定義ファイルのダウンロードを開始したことを検知すると、ツールはディスク上の残りの空き容量すべてを埋めるサイズの一時隠しファイルを瞬時に生成する。これにより、Defenderは更新用の一時ファイルを保存できなくなり、更新プロセスが失敗する。
更新処理が失敗し、Defenderがステージング用のディレクトリを削除すると、ツール側も生成した一時ファイルを削除し、次の更新試行に備えて待機状態に戻る。さらに、Windowsの標準ツールである悪意のあるソフトウェア削除ツール（MRT.exe）のハンドルを開いたまま保持することで、Windows Update経由でMRT.exeが置き換えられるのを阻止する処理も含まれているという。
この妨害を受けた場合でもDefenderのプロセス自体は停止せず稼働を続けるが、新たな脅威を検知するためのシグネチャやプラットフォームが更新されないため、検知能力が古い状態のまま放置されることになる。公開されたスクリーンショットでは、更新試行時にWindowsの汎用エラーが返される様子が示されているが、この失敗によってシステム上で自動的な警告通知（アラート）が発生するかどうかは、PoCのコードからは明確になっていない。
過去の「UnDefend」との相違点と修正パッチの状況
ナセリ氏によると、BigDiskBusterは自身が2026年4月に公開したDefenderのDoS（サービス妨害）欠陥「UnDefend」と類似した目的を持つツールだと説明されている。
ただし、両者の動作メカニズムは異なっている。UnDefendは制御不能なリソース消費（メモリやCPU等の過剰消費）を引き起こして定義更新を阻害していたのに対し、今回のBigDiskBusterはディスク容量を物理的に埋めることでDefenderの更新ディレクトリの容量拡張を妨げる。
マイクロソフトはUnDefendに対して、2026年5月に「CVE-2026-45498」としてAntimalware Platformバージョン4.18.26040.7で修正パッチを配布している。しかし、今回のBigDiskBusterは全く異なる手法で動作しているため、5月の修正パッチで本手法を防げるかは確認されておらず、異なるメカニズムであることから効果がない可能性が高いとみられている。
公開者の背景と過去のツールを巡る経緯
ツールの作成者であるナセリ氏は元マイクロソフトのセキュリティ研究者であり、2024年にMicrosoft Security Response Center（MSRC）から解雇されたと主張している。同氏は2026年4月以降、マイクロソフトとの事前調整（協調的開示）を行わないまま、DefenderやWindowsのエクスプロイト（脆弱性悪用コード）をほぼ毎月のように単独で公開し続けている。
同氏が過去に公開したDefender関連の最初の3つのツール（BlueHammer、RedSun、UnDefend）は、いずれもマイクロソフトがパッチを公開し、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）が「既知の悪用された脆弱性カタログ（KEV）」に追加する前に、実際のサイバー攻撃（不正侵入）において悪用された実績がある。
なお、ナセリ氏自身はBigDiskBusterについて「少々バグがあり、一部の書き直しが必要」としつつも、サポートされているすべてのWindowsバージョンで動作するようだと述べている。現時点では、独立した第三者の研究者による動作の検証結果は報告されていない。
管理者が取れる現状の確認・対策手法
現在、BigDiskBusterに対するベンダー公式のパッチや回避策（ワークアラウンド）は存在しない。そのため、管理者やユーザー側での状況把握と監視が重要となる。
Defenderの定義ファイルやプラットフォームが最新であるかどうかは、「Windows セキュリティ」の「ウイルスと脅威の防止」内にある「保護の更新」から手動で「更新プログラムの確認」を行うことで確認できる。また、PowerShell環境では Get-MpComputerStatus コマンドを実行し、AMEngineVersion（エンジンバージョン）および AMProductVersion（製品バージョン）の各項目を参照することで現在の適用状況を把握できる。
本手法の検知にあたっては、Defenderの更新失敗が連続して発生していないか、システムボリューム上でディスクの空き容量不足が継続していないか、一時ディレクトリ内に巨大な隠しファイルが存在していないかといった兆候を監視することが有効とされている。また、攻撃者によるツールの実行を防ぐ手段として、WDAC（Windows Defender Application Control）やAppLockerなどのアプリケーション実行制御機能を用いて、未知のバイナリの実行を制限することが推奨されている。