[해외보안뉴스] MS 디펜더 업데이트를 마비시키는 제로데이 PoC 'BigDiskBuster' 공개
· 2026-09-22 23:00
· 조회 18
· 원문 ↗
전직 마이크로소프트 보안 연구자인 압델하미드 나세리(Abdelhamid Naceri)가 마이크로소프트 디펜더(Microsoft Defender)의 업데이트를 차단하는 제로데이 개념증명(PoC) 도구인 'BigDiskBuster'를 깃허브(GitHub)에 공개했습니다. 이 도구는 시스템 내 사용 가능한 모든 디스크 공간을 가득 채우는 방식으로 Microsoft Defender가 새로운 플랫폼 및 시그니처 업데이트를 설치하지 못하도록 방해합니다.
현재 해당 문제에 대한 마이크로소프트의 공식 보안 권고문이나 보안 패치는 제공되지 않고 있으며, 지정된 CVE 번호도 없는 상태입니다. 백신 소프트웨어가 최신 시그니처를 반영하지 못하면 신종 악성코드에 무방비로 노출될 위험이 있습니다. 특히 제작자인 나세리가 과거에 공개했던 Defender 관련 익스플로잇들이 실제 공격자에 의해 악용된 사례가 있어 이번 공개에 대한 보안 우려가 커지고 있습니다.
공식 패치가 배포되기 전까지 시스템 관리자들은 디스크 용량의 급격한 소모를 실시간으로 모니터링하고, 비정상적으로 대용량 파일을 생성하거나 디스크 공간을 점유하는 프로세스를 즉시 감지·차단하는 모니터링 체계를 강화해야 합니다.
♥ 추천 0
단순한 디스크 용량 고갈(Disk Exhaustion) 기법이지만, 보안 프로그램의 가용성을 무력화한다는 점에서 시스템 설계상의 허점을 정확히 노린 취약점입니다.
개발 관점에서는 업데이트 모듈에 사전 용량 검증 및 예외 처리 로직을 강화하는 것은 물론, 핵심 보안 프로세스 전용 디스크 쿼터(Quota)를 아키텍처 단계에서 예약해 두는 방어 조치가 필요합니다.
MS 측에서는 비정상적인 대규모 파일 생성 행위를 OS 레벨에서 제어하고, 디스크 고갈 상황에서도 보안 업데이트가 가능하도록 우선순위 스토리지 확보 패치를 조속히 적용해야 할 것입니다.
디스크 공간 고갈이라는 단순한 원리로 Defender의 시그니처 및 플랫폼 업데이트 메커니즘을 마비시키는 매우 직관적이고 치명적인 공격 벡터입니다. 패치가 없는 제로데이 상태에서 보안 제품의 최신 탐지 룰 반영을 차단함으로써, 후속 공격 페이로드가 탐지망을 우회할 수 있는 완벽한 '보안 맹점'을 손쉽게 만들어냅니다. 복잡한 익스플로잇 없이도 방어 체계를 유효 타격할 수 있어, 실제 레드팀 수행 시 EDR 교란 및 회피 목적으로 매우 매력적인 기법입니다.
공식 패치가 없는 제로데이 상태에서 백신 업데이트를 무력화하는 공격 기법은 엔드포인트 보안 시스템에 직접적인 위험을 초래합니다.
단기적으로는 모니터링 정책을 강화해 디스크 임계치 이상 징후와 미인가 도구 실행을 즉시 감지 및 차단해야 합니다.
나아가 특정 단일 솔루션 장애 시에도 조직 전체의 보안이 상쇄되지 않도록 다층 방어(Defense-in-Depth) 거버넌스를 재점검하고 대응 체계를 가동하겠습니다.