Der Defender Zero-Day BigDiskBuster macht etwas Unspektakuläres und gerade deshalb Wirksames: Er lässt Microsoft Defender laufen, hindert ihn aber dauerhaft daran, neue Signaturen zu laden. Das Ergebnis ist ein Virenschutz, der funktioniert – nur mit dem Wissensstand von gestern.
Wie der Defender Zero-Day BigDiskBuster arbeitet
Sicherheitsforscher Abdelhamid Naceri, in der Szene als Nightmare Eclipse bekannt, veröffentlichte den Proof of Concept am Wochenende; berichtet wurde darüber am 22. September 2026. Das Werkzeug beobachtet das Laufwerk C: auf neue Verzeichnisse unterhalb der Defender-Update-Pfade. Beginnt Defender mit dem Download eines Plattform- oder Definitionsupdates, legt das Tool eine versteckte temporäre Datei an, die den restlichen freien Speicher füllt. Das Update scheitert. Sobald Defender sein Staging-Verzeichnis wieder entfernt, löscht das Tool die Datei und wartet auf den nächsten Versuch.
Naceri selbst beschreibt es nüchtern: Der PoC verhindere Plattform- und Signaturupdates, funktioniere auf allen unterstützten Windows-Versionen und müsse dafür im Hintergrund laufen. Er räumt ein, dass der Code noch fehleranfällig sei. Eine CVE-Nummer, ein Microsoft-Advisory oder einen Patch gibt es bislang nicht; Microsoft hatte sich zum Zeitpunkt der Berichterstattung nicht geäußert.
Wichtig für die Einordnung – und das wird in Schlagzeilen gern verkürzt: BigDiskBuster deaktiviert den Defender-Dienst nicht, verschafft keine Codeausführung und entfernt keine bereits vorhandenen Erkennungen. Es ist ein Denial of Service gegen den Update-Mechanismus, nicht gegen den Scanner.
Dein AD härten: 12 Sofortmaßnahmen
Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.
Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.
Der Kontext: eine Serie, kein Einzelfall
BigDiskBuster ähnelt UnDefend, das Naceri im April veröffentlichte und das Standardnutzern erlaubte, Definitionsupdates zu blockieren. Rund zehn Tage zuvor, am 9. September, erschien ShieldCrash, dessen PoC beliebige Dateien mit SYSTEM-Rechten liest (Schreibzugriff laut Autor ausdrücklich nicht) und laut Naceri den Schutz gegen die Lücke ShieldBreak (CVE-2026-69414) umgeht – die Microsoft eine Woche davor gepatcht hatte. ShieldBreak wiederum war eine Umgehung von RoguePlanet aus dem Juni. Seit April 2026 hat der Forscher, der sich als ehemaliger Microsoft-Mitarbeiter bezeichnet, fast ein Dutzend Zero-Day-Exploits veröffentlicht – nach eigener Darstellung als Folge eines Streits über seine Kündigung. Microsoft reagierte Ende Mai mit dem Hinweis auf mögliche rechtliche Schritte und ruderte nach massiver Kritik aus der Sicherheitsszene am 1. Juni zurück: Man habe nicht die Absicht, gegen Personen vorzugehen, die Sicherheitsforschung betreiben oder veröffentlichen.
Was das für dich bedeutet
Aus CISO-Sicht ist der interessante Teil nicht der Exploit, sondern die Lücke im eigenen Monitoring. Fast jedes Dashboard fragt: „Läuft der Virenschutz?“ Deutlich seltener fragt jemand: „Wie alt ist die Signaturversion auf diesem Gerät?“ Genau dort greift dieser Angriff. Ein Rechner mit laufendem Defender und drei Wochen alten Definitionen sieht in der Übersicht grün aus – und ist es nicht.
Realistisch einordnen sollte man dabei zwei Dinge. Erstens braucht der Angreifer bereits Codeausführung auf dem Gerät; das hier ist eine Persistenz- und Verschleierungstechnik, keine Eintrittskarte. Zweitens hat dieselbe Symptomatik viel häufiger eine harmlose Ursache: eine wirklich volle Platte, ein kaputter Proxy, ein WSUS-Problem. Wer bei alten Signaturen sofort einen Angriff vermutet, erzeugt Fehlalarme. Wer sie gar nicht misst, merkt beides nicht.
Der dritte Punkt gilt unabhängig von diesem Tool: Ein Endpoint-Schutz, der nur lokal entscheidet, ist ein einzelner Kontrollpunkt. Ich halte es seit Jahren so, dass die Aussage „Client meldet sich seit X Tagen nicht sauber“ serverseitig entstehen muss – der kompromittierte Rechner ist keine vertrauenswürdige Quelle über sich selbst.
Konkrete Handlungsempfehlung
- Signaturalter zentral überwachen, nicht nur den Dienststatus. Ein Report über
AntivirusSignatureLastUpdatedundAntivirusSignatureAgeausGet-MpComputerStatus(per PowerShell-Remoting oder über Intune/Defender-Portal) zeigt in fünf Minuten, ob irgendwo etwas hängt. - Alarm ab 48 Stunden ohne erfolgreiches Signaturupdate – nicht erst ab sieben Tagen. Der Wert lässt sich in jedem Monitoring abbilden, das die Endpoints ohnehin schon abfragt.
- Freien Speicherplatz als Sicherheitsmetrik behandeln. Plötzlich verschwindender Speicher auf C: ist bei dieser Technik das eigentliche Signal. Ein Schwellwert von 10 Prozent gehört ins Monitoring, nicht nur in den Helpdesk-Ticketbaum.
- Tamper Protection aktivieren und Defender-Einstellungen per Richtlinie erzwingen – das verhindert BigDiskBuster nicht, schließt aber die bequemeren Nachbarwege.
- Nicht auf einen Patch warten: Es gibt weder CVE noch Advisory. Die Gegenmaßnahme ist hier Sichtbarkeit, nicht ein Update.
Wer die Vorgeschichte dieser Serie nachlesen will, findet sie in meinem Beitrag zu ShieldBreak und CVE-2026-69414 sowie in der Auswertung zum Patch Tuesday September 2026.
Quellen
- BleepingComputer, 22.09.2026
- The Hacker News zu BigDiskBuster
- Security Affairs zum PoC
- Microsoft MSRC: CVE-2026-69414 (ShieldBreak)
Mehr Klartext, direkt ins Postfach
Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Zur Anmeldung