BigDiskBuster : analyse du zero-day qui bloque les mises à jour de Microsoft Defender

En septembre 2026, une nouvelle preuve de concept (PoC) a été mise en ligne sur GitHub, provoquant une onde de choc dans la communauté de la cybersécurité. Baptisée BigDiskBuster, elle cible spécifiquement le mécanisme de mise à jour de Microsoft Defender, l’antivirus et la plateforme de sécurité des endpoints la plus déployée au monde. L’objectif est simple mais dévastateur : saturer l’espace disque pour empêcher l’installation des nouvelles signatures de détection et des mises à jour de la plateforme. Aucun correctif officiel n’existe. Aucun CVE n’a été attribué. Aucun bulletin de sécurité n’a été publié par l’éditeur. Il s’agit d’une exploitation zero-day du processus métier de l’outil de sécurité lui-même.

Son auteur, Abdelhamid Naceri, est un ancien chercheur du Microsoft Security Response Center (MSRC). Licencié en 2024, il a fait de la divulgation non coordonnée de vulnérabilités une routine depuis avril 2026. Ses précédents outils - BlueHammer, RedSun et UnDefend - ont tous été exploités dans des attaques réelles avant d’être corrigés. La publication de BigDiskBuster s’inscrit dans cette escalade technique, et les équipes de sécurité françaises doivent impérativement en comprendre les implications.

BigDiskBuster : un mécanisme d’attaque simple mais redoutable

Le fonctionnement de BigDiskBuster est à la fois élégant et alarmant par sa simplicité. Il ne s’agit pas d’un exploit classique de type buffer overflow ou injection, mais d’une exploitation logique du cycle de vie des mises à jour antivirus. L’outil surveille passivement le volume système. Il guette la création de répertoires spécifiques sous les chemins de mise à jour de Defender. Dès que le processus de téléchargement d’une mise à jour de la plateforme (Antimalware Platform) ou des signatures de détection (Definition Updates) est détecté, l’outil crée immédiatement un fichier temporaire caché.

La taille de ce fichier est calculée dynamiquement pour occuper la totalité de l’espace libre restant sur le disque. Incapable d’écrire les nouveaux fichiers de mise à jour, le processus de Defender échoue. Une fois l’échec confirmé, l’outil supprime son fichier temporaire et se remet en attente de la prochaine tentative de mise à jour, cyclant ainsi indéfiniment le processus de blocage. Du point de vue de l’utilisateur, Defender semble toujours fonctionner, mais ses capacités de détection deviennent obsolètes.

« Quand les mises à jour sont bloquées, Defender continue de tourner, mais son contenu de détection devient obsolète. » - Extrait de l’analyse initiale de la menace.

Et MRT.exe dans tout ça ?

L’outil ne se contente pas de saturer le disque. Il ouvre également un handle exclusif sur le fichier MRT.exe (Microsoft Malicious Software Removal Tool), un utilitaire de nettoyage post-infection distribué via Windows Update. En maintenant un verrou sur ce binaire, BigDiskBuster empêche Windows Update de le remplacer par une version plus récente. Il s’agit d’une mesure de défense en profondeur de l’attaque, visant à neutraliser les mécanismes de nettoyage alternatifs.

BigDiskBuster vs UnDefend (CVE-2026-45498)

Naceri décrit lui-même BigDiskBuster comme similaire à son précédent outil, UnDefend. Il convient toutefois de bien distinguer les deux mécanismes pour évaluer correctement le périmètre de la menace. Le tableau ci-dessous résume les différences fondamentales :

UnDefend exploitait une consommation non contrôlée des ressources pour saturer le service de mise à jour. Microsoft a corrigé cette faille en mai 2026 sous la référence CVE-2026-45498. BigDiskBuster, en ciblant directement le système de fichiers via une méthode différente, n’est probablement pas couvert par ce correctif.

Analyse historique : la genèse d’une menace persistante

Comprendre BigDiskBuster, c’est aussi comprendre son auteur. Abdelhamid Naceri n’est pas un simple amateur. Ancien chercheur au sein du Microsoft Security Response Center (MSRC), il possède une connaissance intime des rouages internes de la sécurité Windows. Depuis son départ en 2024, il a entrepris une campagne de divulgation quasi-mensuelle de failles zero-day, sans coordination avec Microsoft.

Ses trois premiers outils - BlueHammer, RedSun et UnDefend - ont été activement exploités dans des intrusions massives. L’agence américaine CISA (Cybersecurity and Infrastructure Security Agency) a été contrainte d’ajouter ces trois vulnérabilités à son catalogue Known Exploited Vulnerabilities (KEV). Selon la CISA, l’ajout au catalogue KEV signifie que les agences fédérales américaines sont tenues de corriger ces failles dans des délais très stricts, un indicateur fort de leur exploitation active dans la nature.

Le pattern est clair : Naceri publie un outil, les acteurs malveillants l’intègrent rapidement à leur arsenal, et Microsoft court après le correctif. BigDiskBuster s’inscrit exactement dans cette dynamique. La question n’est pas de savoir si cet outil sera utilisé lors d’une prochaine campagne, mais quand.

Évaluation des risques pour les organisations françaises

Un écosystème Microsoft dominant

En France, la part de marché de Microsoft dans les environnements de postes de travail et de serveurs est prépondérante. Microsoft Defender, qu’il soit utilisé comme antivirus de base ou comme solution EDR via Microsoft Defender for Endpoint, constitue la première ligne de défense pour la majorité des entreprises, des administrations et des collectivités. D’après le rapport 2025 du CESIN, 78% des RSSI français considèrent la sécurité des endpoints comme leur domaine de risque le plus critique, ce qui rend une attaque contre Defender systémique. Une paralysie de sa capacité à se mettre à jour expose l’organisation à un risque majeur.

L’angle mort du SOC

Pour un SOC (Security Operations Center) français, la détection de BigDiskBuster représente un défi de corrélation. Un échec isolé de mise à jour de signature n’est généralement pas considéré comme un incident critique ; c’est souvent un événement de bruit de fond, lié à un problème réseau ou à une interruption de service. BigDiskBuster exploite précisément ce biais cognitif. L’outil rend les échecs de mise à jour chroniques, mais sans générer d’alerte explicite de type malware détecté. L’équipe SOC doit activement corréler les échecs de mise à jour de Defender avec une métrique totalement différente : l’espace disque disponible.

Prenons l’exemple concret d’une PME française équipée de Microsoft 365 Business Premium. Un attaquant, après avoir compromis le poste d’un collaborateur via une campagne de phishing, déploie BigDiskBuster sur le serveur de fichiers central. Pendant 48 heures, les signatures de Defender ne sont plus actualisées. L’attaquant exécute ensuite un ransomware dont l’empreinte est récente. Les postes clients, dont les signatures datent, ne reconnaissent pas la menace. Le chiffrement commence. Le SOC, s’il ne supervise pas spécifiquement les échecs de mise à jour, ne détecte l’anomalie qu’une fois l’impact critique, lorsque l’alerte de chiffrement remonte.

Conséquences réglementaires

Au-delà du risque technique, l’impact peut être juridique. Le RGPD impose aux organisations de mettre en œuvre des mesures techniques et organisationnelles appropriées. La directive NIS 2, transposée en droit français, renforce cette obligation pour les entités essentielles et importantes. L’ANSSI, dans ses guides de sécurisation des systèmes d’information, rappelle systématiquement l’importance de la défense en profondeur (defense in depth). Une incapacité à maintenir à jour ses outils de sécurité, démontrée par une exploitation de BigDiskBuster, pourrait être qualifiée de manquement grave à l’obligation de moyens.

Stratégies de défense sans correctif

Aucun correctif Microsoft ni solution de contournement officielle n’existe pour BigDiskBuster à l’heure actuelle. La défense repose donc exclusivement sur la détection proactive, la surveillance des anomalies et l’empêchement de l’exécution de l’outil.

1. Restreindre l’exécution de code non autorisé

C’est la mesure la plus efficace. Si un attaquant ne peut pas exécuter le binaire malveillant, l’attaque échoue. Deux technologies majeures sont recommandées par l’ANSSI et Microsoft :

• Windows Defender Application Control (WDAC) : Une solution de whitelisting très robuste, idéale pour les postes de travail et serveurs à haute sensibilité.
• AppLocker : Solution plus simple à déployer, permettant de restreindre l’exécution par éditeur, chemin ou hash de fichier.

Activez également les règles de réduction de la surface d’attaque (ASR) . Les règles qui bloquent la création de processus suspects, la modification de fichiers dans les répertoires protégés et l’exécution de scripts non signés sont particulièrement pertinentes.

2. Surveillance active des anomalies

Puisque l’attaque se manifeste par des symptômes physiques (espace disque, échecs de mise à jour), la supervision est une piste de détection fiable. Voici les indicateurs clés à surveiller :

• Espace disque : Mettez en place une alerte sur le volume système lorsque l’espace libre descend sous un seuil critique (ex. : 5%). Corrélez systématiquement cet événement avec les échecs de mise à jour.
• Logs de Defender : Dans l’Observateur d’événements, surveillez les échecs de chargement des signatures (Event ID 2000, 2001, 2002).
• Logs systèmes : Surveillez la création massive de fichiers temporaires de grande taille via Sysmon (Event ID 11) ou l’audit de la sécurité Windows.

# Commande à exécuter régulièrement pour auditer l'état de Defender
Get-MpComputerStatus | Select-Object AMEngineVersion, AMProductVersion, AntivirusSignatureVersion

# Vérification de l'espace disque restant sur le volume système
Get-CimInstance -ClassName Win32_LogicalDisk -Filter "DeviceID='C:'" | Select-Object DeviceID, @{N="FreeSpaceGB";E={[math]::Round($_.FreeSpace/1GB,2)}}

3. Segmentation et moindre privilège

BigDiskBuster nécessite des privilèges élevés (Administrateur) pour saturer le volume système et ouvrir un handle sur MRT.exe. Limiter les droits d’administration sur les postes de travail réduit considérablement la surface d’attaque. Appliquez le principe du moindre privilège :

• Supprimez les droits d’administration locale superflus.
• Utilisez des comptes de délégation pour les tâches administratives.
• Segmentez les accès réseau (micro-segmentation) pour limiter la propagation latérale d’un attaquant qui aurait compromis un premier poste.

« Dans la pratique, la corrélation entre les échecs de mise à jour et les anomalies d’espace disque devrait devenir un cas d’usage standard pour tout SOC français utilisant Defender. Le risque de faux positif existe, mais le coût d’un faux négatif est bien trop élevé. »

Conclusion : anticiper la menace, un impératif pour la cyber-résilience

BigDiskBuster n’est pas une vulnérabilité classique, c’est le symptôme d’une nouvelle génération d’attaques qui ciblent les fondations de nos architectures de sécurité. En attaquant le processus de mise à jour plutôt que le logiciel lui-même, il transforme notre principal outil de défense en une coquille vide. L’absence de correctif officiel place la responsabilité de la protection sur les épaules des équipes techniques.

La solution ne viendra pas d’un simple patch Microsoft, mais d’une approche holistique de la sécurité : une hygiène rigoureuse des configurations (WDAC, AppLocker, ASR), une supervision active capable de corréler des événements disparates, et un respect strict du principe de moindre privilège. Les organisations françaises doivent impérativement intégrer ce type de menace dans leur analyse de risques et leurs procédures de réponse à incident. L’heure n’est plus à l’attente du correctif, mais à la vigilance et à l’adaptation permanente face à une menace qui sait exploiter nos angles morts les plus profonds.