BigDiskBuster : le zero-day qui bloque Microsoft Defender et expose vos endpoints Windows

Imaginez un instant votre solution antivirus principale totalement aveugle, ses signatures de détection figées depuis plusieurs jours, sans que vous en ayez la moindre alerte. Ce scénario, digne d’une faille critique de sécurité, est désormais une réalité tangible avec la publication de BigDiskBuster. Le 19 septembre 2025, un outil Proof-of-Concept (PoC) a été rendu public sur GitHub, ciblant directement le moteur de mise à jour de Microsoft Defender. Son objectif ? Empêcher purement et simplement l’installation des mises à jour de plateforme et des définitions de virus. Aucun correctif officiel n’existe à ce jour, aucun CVE n’a été attribué, et Microsoft n’a pas encore publié d’avis de sécurité. Cet article propose une analyse technique exhaustive de BigDiskBuster, explore le profil sulfureux de son auteur, décrypte les risques pour les entreprises françaises et détaille les stratégies de défense actionnables pour parer cette menace zero-day.

Analyse technique de BigDiskBuster : comment paralyse-t-il Microsoft Defender ?

Pour comprendre l’impact de BigDiskBuster, il est essentiel de plonger dans les rouages de son fonctionnement. Contrairement aux idées reçues, il ne s’agit pas d’une vulnérabilité de type buffer overflow ou d’un bug dans un driver noyau. La méthode employée est celle du déni de service (DoS) local, visant spécifiquement les mécanismes de mise à jour du logiciel de sécurité. L’outil n’attaque pas directement les binaires de Defender, mais exploite une faiblesse inhérente à son processus de mise à jour : la dépendance à un espace disque disponible.

Un mécanisme de saturation de l’espace disque

L’outil fonctionne en surveillant en temps réel le système de fichiers du lecteur système (C:) à l’aide d’une boucle d’écoute. Dès que Defender initie une mise à jour, un nouveau répertoire de travail est créé dans les chemins d’accès dédiés (sous ProgramData\Microsoft\Windows Defender\Platform\ par exemple). BigDiskBuster détecte cette création et réagit instantanément en générant un fichier temporaire caché, dont la taille est calculée pour occuper tout l’espace disque libre restant. Cette action empêche Defender d’écrire les nouveaux fichiers de base de données de signatures ou de plateforme. La mise à jour échoue donc immanquablement. Une fois l’échec consommé et le répertoire de travail supprimé par Defender, l’outil efface son fichier temporaire et se remet en position de surveillance, prêt pour la prochaine tentative de mise à jour. Ce cycle peut se répéter indéfiniment, maintenant Defender dans un état fonctionnel mais obsolète. En complément, l’outil ouvre un handle sur MRT.exe (l’outil de suppression de logiciels malveillants Windows) d’une manière qui empêche Windows Update de le remplacer, ajoutant une couche supplémentaire de blocage.

Une technique distincte du correctif UnDefend (CVE-2026-45498)

Il est crucial de ne pas confondre BigDiskBuster avec UnDefend, un autre outil du même chercheur publié en avril 2025. Ce dernier avait été corrigé par Microsoft en mai 2025 sous la référence CVE-2026-45498. Là où UnDefend utilisait une consommation incontrôlée de ressources (CPU et mémoire) pour bloquer Defender, BigDiskBuster s’attaque directement à l’intégrité du système de stockage. Le chercheur lui-même décrit BigDiskBuster comme « similaire à UnDefend », mais le vecteur d’attaque est fondamentalement différent, ce qui suggère que le correctif de mai n’est pas efficace contre cette nouvelle menace. Aucune passerelle directe n’existe entre les deux vulnérabilités, ce qui oblige à considérer BigDiskBuster comme un tout nouveau problème de sécurité, nécessitant une réponse spécifique.

Le chercheur Abdelhamid Naceri : passé, méthodes et motivations

Derrière BigDiskBuster se cache une figure bien connue des spécialistes en cybersécurité : Abdelhamid Naceri. Ancien chercheur au sein du Microsoft Security Response Center (MSRC), il a été remercié par l’éditeur en 2024. Depuis, il a entamé une croisade singulière, publiant mensuellement des exploits ciblant Windows et Microsoft Defender sans coordination préalable avec la firme de Redmond. Son profil suscite de vives réactions dans la communauté, partagée entre l’admiration pour ses compétences techniques et la crainte des conséquences de ses publications non coordonnées.

Un historique de divulgations non coordonnées

Depuis son départ, Naceri a maintenu un rythme soutenu de divulgation. En avril 2025, il publie UnDefend. En mai, il enchaîne avec de nouvelles failles. Son objectif affiché est de mettre la pression sur Microsoft pour qu’elle améliore la sécurité de ses produits, mais sa méthode expose directement les utilisateurs finaux à des risques majeurs. Naceri lui-même a reconnu le caractère expérimental de BigDiskBuster, déclarant qu’il est « un peu bogué et a besoin d’être réécrit ». Cette approche de full disclosure agressive est de plus en plus critiquée, surtout lorsque les PoC sont fonctionnels et facilement exploitables par des acteurs malveillants.

BlueHammer, RedSun et UnDefend : des exploits déjà utilisés en conditions réelles

L’inquiétude qui entoure BigDiskBuster est légitime au vu du passé. Les trois précédents outils de Naceri - BlueHammer, RedSun, et UnDefend - ont tous été exploités dans le cadre d’intrusions réelles avant que Microsoft ne publie un correctif. L’agence américaine CISA a d’ailleurs inscrit ces trois vulnérabilités dans son catalogue Known Exploited Vulnerabilities (KEV), signe d’une exploitation active et massive. Selon les observateurs, ce précédent laisse craindre une vague d’attaques imminente ciblant BigDiskBuster. Les organisations françaises doivent tirer les leçons de cet historique : un PoC de Naceri n’est jamais resté théorique très longtemps.

Conséquences pour les endpoints Windows en environnement professionnel

Si BigDiskBuster est un outil local nécessitant un accès au système, son potentiel de nuisance en entreprise est considérable. Un attaquant ayant déjà compromis un poste de travail peut exécuter l’outil silencieusement. L’impact immédiat est l’ouverture d’une fenêtre d’opportunité pour déployer des charges malveillantes avancées sans être détecté par les signatures antimalware, rendant l’attaquant virtuellement invisible pour le pare-feu principal de l’endpoint.

Scénario d’attaque réaliste pour les PME et ETI françaises

Prenons le cas d’une ETI industrielle française victime d’un phishing ciblé. L’attaquant utilise un dropper pour exécuter BigDiskBuster. Les signatures de Defender ne sont plus mises à jour. Pendant plusieurs jours, l’attaquant peut effectuer de la reconnaissance latérale, exfiltrer des données et finalement déployer un rançongiciel. Les logs de Windows ne montreront aucune alerte critique de Defender, uniquement des échecs de mise à jour sporadiques et une baisse inexpliquée de l’espace disque sur certains serveurs. Pour un DSI, c’est un cauchemar silencieux : le principal outil de défense est neutralisé sans bruit.

Un risque systémique pour la chaîne d’approvisionnement

Au-delà du poste de travail unique, l’outil pourrait être utilisé comme un levier dans une attaque plus large. En bloquant les mises à jour de Defender sur un ensemble de machines, un attaquant peut affaiblir la détection d’un SI entier avant de déployer son attaque principale. Pour les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE) en France, les exigences réglementaires de l’ANSSI imposent une capacité de détection et de réaction qui se trouverait gravement compromise par une telle paralysie silencieuse de l’antivirus. L’absence de correctif immédiat place ces organisations dans une situation délicate vis-à-vis de leur conformité.

« L’outil n’a pas de correctif, pas de CVE, et aucun avis de Microsoft. Il semble fonctionner sur toutes les versions supportées de Windows. » - A. Naceri, à propos de BigDiskBuster.

Stratégies de défense et détection pour les équipes SOC

Face à l’absence de correctif, la défense repose sur une approche en profondeur. Il est impératif de déployer des mesures de détection et de blocage au niveau des outils de sécurité périphériques et des configurations système. La confiance aveugle dans Defender ne suffit plus ; une posture proactive est indispensable.

Détection des indicateurs de compromission (IoCs)

Les équipes SOC doivent immédiatement mettre en place une surveillance proactive. Les indicateurs clés incluent :

• Logs d’échec de mise à jour de Defender : surveiller les Event ID 2000, 2001 et 2005 du journal Microsoft-Windows-Windows Defender/Operational. Une multiplication de ces événements sur un même poste est un signal d’alarme majeur.
• Création de fichiers volumineux et cachés : utiliser Sysmon (Event ID 11) pour détecter la création de fichiers .tmp ou cachés de plusieurs gigaoctets dans les répertoires système. La corrélation avec les événements de mise à jour est essentielle.
• Espace disque anormalement bas : corréler les alertes de stockage des serveurs avec les tentatives de mise à jour de l’antivirus. Un pattern cyclique de baisse et de remontée d’espace disque peut trahir l’activité de BigDiskBuster.
• Vérification de la version des signatures : exécuter régulièrement la commande PowerShell suivante pour comparer la version locale avec la version publiée par Microsoft :

Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion

Pour les environnements avancés, une requête de chasse aux menaces dans Microsoft 365 Defender ou Azure Sentinel peut automatiser cette détection :

DeviceEvents
| where Timestamp > ago(1d)
| where ActionType in ('MpSignatureUpdateFailed', 'MpEngineUpdateFailed')
| summarize FailureCount = count() by DeviceName, ActionType
| where FailureCount > 3
| join kind=inner (DeviceInfo | summarize LatestIP = arg_max(Timestamp, PublicIP, PrivateIP) by DeviceName) on DeviceName

Cette requête permet d’identifier les postes où les mises à jour échouent de manière répétée, un indicateur fort de la présence d’un outil de blocage.

Renforcement des politiques d’exécution et durcissement système

La meilleure défense technique contre BigDiskBuster est de l’empêcher de s’exécuter sur les postes.

1. Windows Defender Application Control (WDAC) : Déployer une politique qui autorise uniquement l’exécution de binaires signés par Microsoft ou par un éditeur de confiance. Cela bloque automatiquement les fichiers non signés comme le PoC BigDiskBuster. C’est la solution la plus robuste, bien que son déploiement demande une phase de test rigoureuse.
2. AppLocker : Configurer des règles pour interdire l’exécution de programmes depuis les dossiers temporaires (%TEMP%, %APPDATA%). Une mesure plus simple à mettre en œuvre qui stoppe la grande majorité des attaques utilisant des exécutables non signés.
3. Protection contre les manipulations (Tamper Protection) : Bien que l’outil cible les mises à jour et non directement le service, s’assurer que la protection contre les manipulations de Defender est activée empêchera un attaquant de désactiver facilement la journalisation ou de modifier les processus de l’antivirus.
4. Principe du moindre privilège : Limiter les droits des utilisateurs standards est fondamental. Un utilisateur sans droits administrateur ne pourra pas exécuter BigDiskBuster, sauf si l’attaquant a déjà escaladé ses privilèges.

Plan d’action en urgence pour les DSI

En attendant un correctif de Microsoft, voici les étapes immédiates à suivre :

1. Auditer les versions de signatures : Vérifier manuellement l’état des signatures sur les systèmes critiques via le Centre de sécurité Windows Defender ou PowerShell.
2. Analyser les postes suspects : Rechercher les fichiers cachés volumineux (plusieurs Go) dans les répertoires racines des lecteurs système.
3. Renforcer les règles d’exécution : Activer ou durcir les règles AppLocker ou WDAC si ce n’est pas déjà fait.
4. Activer la journalisation avancée : Activer la journalisation PowerShell détaillée (ScriptBlock Logging) et les règles Sysmon pour capturer les comportements suspects.
5. Mettre à jour les solutions EDR : S’assurer que les règles de détection comportementale des EDR présents sur le parc sont configurées pour détecter l’écriture massive de fichiers temporaires ou la manipulation des processus de mise à jour de Defender.

Le débat sur la divulgation responsable des zero-days

La publication de BigDiskBuster relance un débat fondamental dans le monde de la cybersécurité : où se situe la frontière entre la recherche légitime et la mise en danger du public ? La tension entre la liberté académique et la responsabilité sociétale n’a jamais été aussi palpable.

Publication de Proof-of-Concept vs protection des utilisateurs

D’un côté, la divulgation complète (full disclosure) peut forcer les éditeurs à agir rapidement. De l’autre, la publication d’exploits fonctionnels avant tout correctif expose des millions d’utilisateurs à des cyberattaques. Le cas de Naceri est particulièrement problématique : ancien employé de Microsoft, il connaît parfaitement les cycles de patch et choisit délibérément de ne pas les respecter. Ses détracteurs l’accusent de mettre en danger les utilisateurs pour assouvir une rancune personnelle, tandis que ses partisans y voient un lanceur d’alerte dénonçant les failles béantes de l’écosystème Windows.

Quel rôle pour Microsoft et les autorités françaises ?

L’ANSSI et la CNIL surveillent de près ce type de divulgations. En France, la Loi de Programmation Militaire et les réglementations européennes (NIS 2, Cyber Resilience Act) imposent des standards de plus en plus stricts en matière de sécurité des produits. Microsoft se retrouve dans une position délicate, devant corriger des failles rendues publiques par un ancien employé. Ce bras de fer illustre les tensions croissantes entre la communauté des chercheurs en sécurité et les grands éditeurs. La question se pose également de la responsabilité juridique des chercheurs qui publient des outils dont le but manifeste est de contourner les sécurités de logiciels grand public.

« UnDefend a été corrigé par Microsoft en mai 2025 sous la référence CVE-2026-45498. Cependant, le mécanisme totalement différent de BigDiskBuster laisse penser que ce correctif ne couvre pas cette nouvelle attaque. La vigilance est de mise. »

Conclusion : Agir avant la vague d’exploitation

BigDiskBuster n’est pas une simple preuve de concept académique. C’est un signal d’alarme brutal pour l’ensemble des entreprises françaises utilisant l’écosystème Windows. L’absence de correctif, combinée à l’historique d’exploitation des précédents outils du même auteur, rend la menace très sérieuse et imminente. Les équipes IT et sécurité doivent agir sans tarder : durcir la configuration des endpoints, surveiller les indicateurs de compromission et mettre en place des couches de défense supplémentaires, comme le recours à un EDR comportemental robuste couplé à des politiques d’exécution strictes.

La sécurité d’un système d’information ne peut plus reposer uniquement sur un antivirus, même aussi déployé que Microsoft Defender. La résilience d’une organisation se mesure à sa capacité à se défendre, y compris lorsque ses outils de première ligne sont rendus aveugles par une attaque d’une simplicité redoutable. La fenêtre d’exposition est ouverte. Aux DSI et RSSI de France de transformer cette alerte en opportunité pour repenser leur stratégie de défense en profondeur. Attendre un correctif ne suffit pas ; il est impératif d’agir dès maintenant.

Cet article a été rédigé sur la base d’informations publiques et d’analyses techniques en date de septembre 2025. Il est recommandé de suivre les avis de sécurité de Microsoft et de l’ANSSI pour toute mise à jour.