연구자, Defender 업데이트 차단하는 ‘BigDiskBuster’ PoC 공개

BigDiskBuster가 Defender 업데이트를 막아 탐지 기능의 최신성을 떨어뜨릴 수 있다

• Abdelhamid Naceri는 9월 19일 GitHub에 BigDiskBuster를 공개했다. 이 도구는 Microsoft Defender의 플랫폼·시그니처 업데이트를 중단시키는 제로데이 개념증명이다.
• BigDiskBuster는 C:\ 드라이브의 Defender 업데이트 경로를 감시한다. 업데이트가 시작되면 남은 공간을 숨김 임시 파일로 채워 저장을 막는다.
• 업데이트 실패 뒤 Defender가 준비 디렉터리를 삭제하면 파일도 지워진다. 도구는 다음 시도를 기다리며 MRT.exe 교체까지 방해하도록 파일 핸들을 연다.
• 이 도구는 2026년 9월 19일 공개됐고, 현재 CVE·Microsoft 권고·패치가 없다. 제작자는 지원되는 모든 Windows 버전에서 작동한다고 주장하지만 독립 검증은 없다.
• 과거 Naceri의 BlueHammer·RedSun·UnDefend는 실제 침입에 악용됐다. UnDefend는 2026년 5월 CVE-2026-45498과 플랫폼 4.18.26040.7로 수정됐지만 새 방식의 적용 여부는 미확인이다.
• 한국은 중앙 관리망에서 Defender 업데이트 실패, 시스템 드라이브 여유 공간, 대형 숨김 파일을 함께 감시해야 한다. WDAC·AppLocker로 미승인 실행 파일을 제한해 공공기관 방어 공백을 줄여야 한다.

즉시 주요 기관의 Defender AMProductVersion·AMEngineVersion을 점검하고, 업데이트 실패와 디스크 급감 탐지를 통합하십시오. 패치 전에는 실행 통제와 중앙 모니터링을 우선 적용해야 합니다.

주요 용어: 제로데이(패치가 없는 취약점), 시그니처 업데이트(새 악성코드 식별 정보), WDAC(허용된 프로그램만 실행하는 통제 기능)

출처: The Hacker News