Microsoft Defender : un ancien employé dévoile une faille qui bloque les mises à jour de l’antivirus Windows

Furieux d’avoir été licencié, un ancien chercheur de Microsoft vient de mettre en ligne BigDiskBuster, un outil qui empêche Windows Defender de se mettre à jour. Microsoft n’a pas encore de correctif à proposer pour corriger le tir.

Abdelhamid Naceri, un chercheur en cybersécurité plus connu sous le pseudonyme de NightmareEclipse, a mis en ligne BigDiskBuster , un outil qui empêche Microsoft Defender, l’antivirus par défaut des ordinateurs Windows, de télécharger ses mises à jour de sécurité. Comme à son habitude, le chercheur a mis le programme en ligne sur GitHub… sans prévenir Microsoft en amont.

À lire aussi : Windows – Microsoft corrige une faille de Defender, un chercheur découvre qu’elle est toujours exploitable

Le chercheur n’en est pas à son coup d’essai. Également connu sous les pseudonymes de NightmareEclipse, Chaotic Eclipse ou MSNightmare, cet ancien chercheur en sécurité de Microsoft a divulgué une longue liste de failles Windows critiques , sans se concerter avec Microsoft. Citons notamment BlueHammer, RedSun, UnDefend, GreenPlasma, YellowKey, MiniPlasma, RoguePlanet, et GreatXML. Avec BigDiskBuster, le chercheur a dévoilé 10 vulnérabilités dans des logiciels relatifs à Windows. Bien souvent, l’expert attend que Microsoft dévoile son Patch Tuesday avant de dégainer.

Plusieurs de ces failles ont d’ailleurs été activement exploitées par des pirates avant d’être corrigées par Microsoft. Elles ont ensuite atterri dans le catalogue des vulnérabilités connues exploitées de la CISA, l’agence américaine de cybersécurité.

Il y a une dizaine de jours, le chercheur a tout à coup révélé publiquement son identité et raconté les circonstances de son licenciement. Selon lui, Microsoft aurait mis fin à son contrat sans explication claire en mars 2025 . Le géant de Redmond lui aurait ensuite proposé plusieurs indemnités. Le chercheur a refusé celles-ci. Naceri réclamait plutôt la justification formelle de son éviction et un coup de pouce de l’éditeur pour pouvoir rester en Allemagne. Il affirme avoir contesté son licenciement devant un tribunal du travail allemand, en vain.

Dans les faits, BigDiskBuster ne désactive pas Defender. L’outil se contente en fait de l’empêcher de se mettre à jour et de récupérer ses mises à jour de sécurité . Concrètement, le programme surveille les dossiers dans lesquels l’antivirus installe ses mises à jour. Dès qu’une mise à jour démarre, il crée un fichier caché taillé pour remplir tout l’espace libre restant sur le disque. Résultat, l’installation échoue faute de place, et l’antivirus est privé de sa mise à jour.

Une fois l’échec constaté et le dossier temporaire de Defender supprimé, l’outil fait tout pour effacer ses traces. Il efface son propre fichier et libère l’espace disque. Il recommence le même manège à la prochaine tentative de mise à jour. Defender continue donc de tourner, mais avec un moteur de détection de plus en plus obsolète . Les définitions virales, c’est-à-dire les bases de données de signatures qu’un antivirus utilise pour reconnaître les logiciels malveillants connus, sont également de plus en plus obsolètes.