Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración del disco lleno que bloquea la llegada de actualizaciones.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

The Hacker News informa de que Abdelhamid Naceri publicó en GitHub el 19 de septiembre BigDiskBuster, una prueba de concepto dirigida a impedir actualizaciones de plataforma y firmas de Microsoft Defender.

La herramienta observa nuevas carpetas en rutas de actualización de Defender y, al empezar una descarga, crea un archivo temporal oculto que consume el espacio libre del volumen C:.

Cuando falla la actualización y Defender elimina su carpeta de preparación, la prueba borra el archivo temporal y espera el siguiente intento.

El código también abre un identificador sobre MRT.exe de una forma que bloquearía su sustitución por Windows Update, según la descripción del medio.

Según The Hacker News, no existe un parche, identificador CVE ni aviso de Microsoft para BigDiskBuster al publicarse la noticia.

El autor reconoce que la herramienta necesita cambios y afirma que parece funcionar en las versiones de Windows admitidas; ningún investigador independiente había confirmado ese alcance.

Análisis de Defensops

El efecto buscado no es apagar Defender, sino dejar que su contenido de detección envejezca mientras el proceso sigue activo. Esto puede ocultar el problema si la supervisión se limita a comprobar que el antivirus está ejecutándose. El mecanismo descrito también depende de que el atacante consiga ejecutar la herramienta en el equipo y de que el agotamiento de espacio coincida con intentos de actualización.

La prueba publicada y las capturas del autor justifican revisar la salud de las actualizaciones, pero no demuestran explotación en incidentes reales ni compatibilidad en todas las versiones admitidas de Windows. Tampoco está establecido si las alertas automáticas de Windows detectan el fallo en todos los casos. El informe debe tratarse como una técnica propuesta y públicamente disponible, con alcance aún no verificado de forma independiente.

El precedente UnDefend utilizaba un mecanismo diferente y recibió un parche en mayo. No hay base para asumir que ese parche cubre esta nueva forma de agotar el espacio de actualización. Hasta que Microsoft publique una evaluación, la respuesta debe centrarse en observables de estado y en limitar la ejecución de binarios desconocidos.

Prioridades de revisión

Comprobar en los equipos administrados la antigüedad y versión efectivas de firmas y plataforma de Defender, no solo que el servicio permanezca activo.

Investigar fallos repetidos de actualización de Defender correlacionados con caídas bruscas del espacio libre en el volumen del sistema.

Si aparecen esos síntomas, revisar archivos temporales ocultos de gran tamaño y conservar registros antes de eliminarlos o cambiar la configuración.

Verificar que las políticas de ejecución de aplicaciones impiden binarios no autorizados donde se utilicen WDAC o AppLocker.

Seguir un eventual aviso de Microsoft para confirmar alcance, mitigación y corrección antes de atribuir un incidente concreto a esta prueba.

Qué no se ha confirmado

No hay confirmación independiente de que la técnica funcione en todas las versiones de Windows que cita su autor.

La fuente no confirma explotación de BigDiskBuster en ataques reales.

No está claro si el fallo de actualización produce una alerta automática ni si una corrección anterior cubre este mecanismo.

Fuente

The Hacker News. Fecha indicada: 2026-09-22.