보안 연구원 Abdelhamid Naceri가 Microsoft Defender의 업데이트를 강제로 차단하는 제로데이(패치가 없는 신규 취약점) 개념 증명 도구 'BigDiskBuster'를 GitHub에 공개했습니다. 이 도구는 디스크 공간을 가득 채워 Defender가 바이러스 정의 파일과 플랫폼 업데이트를 설치하지 못하게 만들며, 현재 공식 패치나 Microsoft의 대응 방안이 존재하지 않습니다. Naceri의 이전 도구 세 가지(BlueHammer, RedSun, UnDefend)는 모두 실제 공격에 악용된 전력이 있어 이번 공개도 심각하게 받아들여야 합니다. Defender가 계속 작동하더라도 탐지 정의가 오래되면 최신 악성코드를 탐지하지 못할 수 있습니다. 관리자는 Defender 업데이트 실패 반복, 시스템 볼륨의 지속적인 저용량 디스크 공간, 임시 폴더 내 대용량 숨김 파일 등을 모니터링해야 합니다.
보안 연구원 Abdelhamid Naceri가 Microsoft Defender의 플랫폼·정의 업데이트를 디스크 채우기 방식으로 차단하는 제로데이 PoC 도구 BigDiskBuster를 2026년 9월 19일 GitHub에 공개했다. 현재 패치, CVE 식별자, Microsoft 공식 권고문이 모두 없다.
Defender가 최신 바이러스 정의를 받지 못해 최신 위협 탐지 능력이 저하된다. MRT.exe(Windows 악성 소프트웨어 제거 도구) 핸들 잠금으로 Windows Update도 해당 파일을 교체하지 못하게 된다. 지원 중인 모든 Windows 버전에 영향을 줄 수 있다고 주장된다.
Defender가 업데이트 다운로드를 시작할 때 도구가 C:\ 드라이브의 남은 공간을 모두 채우는 숨김 임시 파일을 생성해 업데이트 디렉터리가 확장되지 못하게 막는다. 업데이트 실패 후 파일을 삭제하고 다음 시도를 대기하는 방식으로 반복 동작한다.
공식 패치나 벤더 우회 방법이 없다. 관리자는 Windows Security 또는 PowerShell의 Get-MpComputerStatus 명령으로 Defender 서명·플랫폼 버전을 확인하고, WDAC 또는 AppLocker로 미승인 바이너리 실행을 제한해야 한다.
Naceri의 이전 세 도구(BlueHammer, RedSun, UnDefend)가 모두 실제 공격에 악용된 전력이 있으므로 패치 없이도 사전 탐지 체계를 즉시 갖춰야 한다. Defender 업데이트 반복 실패, 시스템 볼륨 디스크 공간 급감, 임시 디렉터리 내 대용량 숨김 파일 발생 여부를 모니터링하는 것이 현재 가장 현실적인 대응이다.
본문
Swati Khandelwal 2026년 9월 22일 | 취약점 / 엔드포인트 보안
Microsoft Defender가 플랫폼 및 서명 업데이트를 설치하지 못하도록 사용 가능한 모든 디스크 공간을 채워버리는 제로데이 개념 증명(PoC) 도구가 9월 19일 GitHub에 공개됐다.
BigDiskBuster라고 불리는 이 도구에는 패치도, CVE 식별자도, Microsoft의 공식 권고문도 없다. 제작자인 Abdelhamid Naceri는 전직 Microsoft 보안 연구원으로, 그가 이전에 공개한 Defender 관련 익스플로잇들은 실제 공격에 활용된 바 있다.
업데이트가 차단되면 Defender는 계속 실행되지만 탐지 콘텐츠가 오래된 상태로 유지된다. 연구원이 공개한 스크린샷에는 업데이트 시도 시 Defender가 일반적인 Windows 오류를 반환하는 모습이 담겨 있으나, 해당 실패가 자동 알림을 발생시키는지 여부는 PoC만으로는 확인되지 않는다.
Naceri는 2024년 Microsoft 보안 대응 센터(Security Response Center)에서 해고된 이후, 4월부터 회사와 조율 없이 익스플로잇을 공개해 오고 있다고 밝혔다.
그의 첫 번째 세 가지 Defender 도구인 BlueHammer, RedSun, UnDefend는 모두 Microsoft가 패치를 배포하고 CISA가 알려진 악용 취약점(KEV) 목록에 등재하기 전에 실제 침입 사례에 악용됐다. 이후 그는 Defender 및 Windows 관련 취약점을 대략 매달 공개하고 있다.
BigDiskBuster는 Defender의 업데이트 경로 하위에 새 디렉터리가 생성되는지 C:\ 드라이브를 감시한다. Defender가 플랫폼 또는 정의 업데이트 다운로드를 시작하면, 도구는 남은 여유 공간을 모두 채우는 크기의 숨김 임시 파일을 생성해 업데이트를 실패하게 만든다.
업데이트가 실패하고 Defender가 스테이징 디렉터리를 삭제하면, 도구는 해당 파일을 지우고 다음 시도를 기다린다. 또한 MRT.exe(Windows 악성 소프트웨어 제거 도구)에 대한 핸들을 여는 방식으로, Windows Update가 해당 파일을 교체하지 못하도록 차단한다.
Naceri는 이 도구가 "다소 버그가 있고 일부 재작성이 필요하다(a bit buggy and needs some rewritting)"고 설명하면서, 지원 중인 모든 Windows 버전에서 작동하는 것으로 보인다고 밝혔다. 아직 독립적인 연구원이 해당 동작을 확인하지는 않았다.
Naceri는 BigDiskBuster를 UnDefend와 "유사하다(similar)"고 표현했다. UnDefend는 그가 4월에 공개한 Defender 서비스 거부(DoS) 취약점으로, 다른 방식으로 정의 업데이트를 차단했다. Microsoft는 5월에 Antimalware Platform 버전 4.18.26040.7에서 CVE-2026-45498로 이를 패치했다.
두 도구는 작동 방식이 다르다. UnDefend는 통제되지 않은 리소스 소비 방식을 사용한 반면, BigDiskBuster는 디스크를 채워 Defender의 업데이트 디렉터리가 확장되지 못하게 막는다. 5월 패치가 이 새로운 기법까지 커버하는지는 확인되지 않았으며, 메커니즘이 다르다는 점에서 그렇지 않을 가능성이 높다.
방어자가 해야 할 일
BigDiskBuster에 대한 패치나 벤더 우회 방법은 현재 존재하지 않는다.
관리자는 Windows Security의 바이러스 및 위협 방지(Virus & threat protection) → 보호 업데이트(Protection updates) → 업데이트 확인(Check for updates) 경로를 통해 Defender의 서명 및 플랫폼 버전이 최신 상태인지 확인할 수 있다. PowerShell에서는 Get-MpComputerStatus 명령을 실행하면 AMEngineVersion 및 AMProductVersion 필드에서 현재 버전을 확인할 수 있다.
Defender 업데이트 반복 실패, 시스템 볼륨의 지속적인 저용량 디스크 공간, 임시 디렉터리 내 대용량 숨김 파일 발생을 모니터링하면 해당 기법을 탐지하는 데 도움이 된다. WDAC 또는 AppLocker를 통해 알 수 없는 바이너리의 실행을 제한하면 공격자가 이 도구를 실행하는 것을 억제할 수 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
