De onderzoeker die online bekendstaat als Nightmare Eclipse heeft opnieuw een proof of concept (PoC) gepubliceerd voor Microsoft Defender. Dit keer gaat het om Microsoft Defender BigDiskBuster, een nieuwe PoC die volgens de maker voorkomt dat Windows Defender zijn platform- en handtekeningupdates kan afronden. Daarnaast heeft de onderzoeker zijn eigen identiteit bekendgemaakt, wat het verhaal extra context geeft.
In dit artikel zetten we de belangrijkste punten op een rij: wat BigDiskBuster doet, hoe de PoC is gepositioneerd en welke kanttekeningen er volgens de maker bij de code horen.
Wat is Microsoft Defender BigDiskBuster?
Microsoft Defender BigDiskBuster is een PoC die de werking van Windows Defender verstoort tijdens het updateproces. De PoC is volgens de projectpagina op GitHub “vergelijkbaar met UnDefend”, maar is gericht op een specifiek doel: Defender laten falen bij het voltooien van platform- en handtekeningupdates.
Concreet beschrijft de onderzoeker de PoC als werkend op alle momenteel ondersteunde versies van Windows. Tegelijk benadrukt hij dat de code nog niet af is en buggy is, waardoor er extra ontwikkeling nodig zou zijn voordat het als stabiel of breed inzetbaar kan worden gezien.
Waarom is het updateproces zo relevant?
Updates zijn voor Microsoft Defender een van de kernonderdelen om bedreigingen bij te houden. Als de beveiligingssoftware niet tijdig en correct kan updaten, ontstaat er een gat tussen wat er op endpoints draait en wat er nodig is om nieuwe dreigingen te herkennen.
De impact van een PoC zoals Microsoft Defender BigDiskBuster zit dus niet primair in het meteen direct uitvoeren van malware, maar in het ontregelen van de updateketen. Dat kan aanvallersteams helpen om tijd te winnen of detectie verder te vertragen, afhankelijk van de situatie en configuratie.
Let wel: een PoC bewijst in de regel vooral dat iets kan. Of en hoe goed het in praktijk werkt, is sterk afhankelijk van omstandigheden, systeeminstellingen en eventuele mitigaties die organisaties al hebben toegepast.
De maker achter Nightmare Eclipse: identiteit bekend
Volgens de berichtgeving achter het project heeft de onderzoeker achter Nightmare Eclipse zijn identiteit onthuld. Hij publiceert onder de naam Abdelhamid Naceri.
In eerdere berichten werd Nightmare Eclipse ook in verband gebracht met namen zoals Chaotic Eclipse en MSNightmare. De kern van dit onderdeel is dat de onderzoeker nu expliciet koppelt dat hij degene is die eerder PoC’s publiceerde voor Windows en Microsoft Defender.
Context: werkverhaal en juridische kwestie (volgens Naceri)
Naast de technische publicatie deelde Naceri ook persoonlijke achtergrondinformatie. Hij zegt dat hij met Microsoft heeft samengewerkt in het Verenigd Koninkrijk en Duitsland. Verder beschrijft hij dat hij zijn vertrek uit dienst via een online account aankondigde, dat inmiddels is verwijderd.
In zijn eigen woorden stelt hij dat Microsoft zijn dienstverband plots beëindigde zonder duidelijke reden. Ook zegt hij dat Microsoft hem meerdere financiële opties aanbood om het conflict te beëindigen, die hij zou hebben geweigerd omdat hij een formele toelichting en ondersteuning in Duitsland wilde.
Daarnaast beweert Naceri dat hij zijn ontslag aanvocht voor een Duitse arbeidsrechtbank. Hij stelt dat de argumenten gedurende het proces veranderden. Uiteindelijk zegt hij dat de rechtbank het ontslag bevestigde, met volgens hem vrijwel geen compensatie na een langdurige en kostbare juridische strijd. Hij beschrijft bovendien dat de gevolgen voor zijn mentale gezondheid aanzienlijk waren en dat hij in behandeling zat in een psychiatrische instelling.
Tot slot stelt Naceri dat eerdere claims dat Microsoft hem juridische stappen zou laten ondernemen—een bewering die opdook toen Microsoft onder druk stond rond dreigingen richting onderzoekers die zero-days openbaar maken—volgens hem gefabriceerd waren.
Is BigDiskBuster al klaar voor misbruik?
De maker geeft zelf een belangrijke waarschuwing: de code is buggy en vraagt nog verder werk. Dat betekent dat het niet automatisch gelijkstaat aan een volledig “kant-en-klaar” aanvalstool die in elke omgeving direct hetzelfde resultaat oplevert.
Tegelijk is het ook niet irrelevante informatie. PoC’s kunnen voor verdedigers juist waardevol zijn omdat ze laten zien waar de zwakke plek zit in het proces, zodat beveiligingsteams gerichter kunnen testen en harden.
Als je team werkt met Windows endpoints en Microsoft Defender, is het daarom nuttig om de update- en beveiligingsprocessen te controleren: hoe wordt updatesynchronisatie geborgd, welke log- en alertmechanismen zijn aanwezig en wat gebeurt er wanneer Defender-updatepogingen mislukken?
Wat kun je als organisatie doen?
Hoewel dit artikel geen instructies voor aanvallen geeft, kun je als organisatie wel praktische verdedigingsstappen nemen. Hieronder staan maatregelen die aansluiten op het specifieke thema: het beschermen van het updatevermogen en het vergroten van zichtbaarheid bij falende updates.
- Controleer update-uitvoering: stel vast hoe vaak Defender updates succesvol worden afgerond en welke meldingen je krijgt bij mislukken.
- Monitor op afwijkingen: let op patronen waarin platform- of handtekeningupdates blijven hangen of steeds falen.
- Valideer beleid en configuratie: sommige omgevingen zetten updates streng af, bijvoorbeeld via managementtools. Zorg dat die regels het updateproces niet onnodig verstoren.
- Test in een gecontroleerde omgeving: als je threat intelligence of red-teaming doet, kun je PoC’s gebruiken om je detectie en response te toetsen.
Het is daarbij verstandig om ook breder te kijken dan één PoC. Ontwikkelingen rond Microsoft Defender en endpointbescherming bewegen snel, en aanvallers focussen vaak op processen en ketens rondom detectie, updates en communicatie.
Als je ook interesse hebt in hoe dergelijke ontdekkingen zich verhouden tot bredere SOC- en detectievragen, kan dit artikel je helpen: SOC zicht op DORA-aanvallen: kan dat echt?
Relatie met eerdere Nightmare Eclipse-publicaties
De nieuwe publicatie past in een bredere reeks van PoC’s die aan Nightmare Eclipse zijn toegeschreven. In de context van eerdere berichten wordt ook verwezen naar publicaties rondom andere beveiligingsproducten en aanvallen die zero-day-achtige eigenschappen lijken te raken.
Voor defenders betekent dit vooral dat je niet alleen naar één individuele PoC moet kijken, maar naar de richting van de research: het verbeteren van begrip van waar beveiligingscomponenten kwetsbaar kunnen zijn in de praktijk.
Conclusie
Microsoft Defender BigDiskBuster is een nieuwe PoC die zich richt op het verstoren van het updateproces van Windows Defender—specifiek het afronden van platform- en handtekeningupdates. De onderzoeker achter Nightmare Eclipse, Abdelhamid Naceri, heeft zijn identiteit bekendgemaakt en benadrukt dat de code nog “buggy” is en doorontwikkeld moet worden.
Voor organisaties is dit vooral een signaal om te zorgen dat Defender-updates betrouwbaar blijven werken en dat falende updatepogingen direct zichtbaar zijn binnen monitoring en incidentrespons. Zo beperk je de kans dat een verstoring in de updateketen onverwacht impact krijgt op je detectie en bescherming.
