Исследователь безопасности под псевдонимом Nightmare Eclipse, публикующий 0-day-эксплоиты для Windows с весны 2026 года, выпустил новый инструмент BigDiskBuster. Уязвимость мешает Microsoft Defender устанавливать обновления и сигнатуры. Вскоре после этого исследователь раскрыл своё настоящее имя — Абдельхамид Насери, бывший сотрудник Microsoft.

Как работает BigDiskBuster

BigDiskBuster функционирует на всех поддерживаемых версиях Windows, хотя текущая версия содержит ошибки. Эксплоит не отключает Defender напрямую. Вместо этого он отслеживает процесс обновления и заполняет свободное место на диске скрытыми временными файлами — при необходимости запускает дополнительные потоки, чтобы заполнить оставшееся пространство. Когда обновление Defender завершается с ошибкой, инструмент удаляет временные файлы и освобождает место.

PoC также открывает исполняемый файл Microsoft Malicious Software Removal Tool (MRT.exe) таким образом, чтобы ограничить доступ другим процессам. При этом Windows Security сообщает об ошибке обновления, например 0x80070643.

Пока утилита работает в фоне, Defender остаётся активен, но не получает новые сигнатуры и обновления платформы. Это снижает его способность распознавать свежие угрозы.

История Абдельхамида Насери

Насери раскрыл своё имя в сети X в посте «Story time» (впоследствии удалённом). Он рассказал, что работал в Microsoft Security Response Center в команде Vulnerabilities & Mitigation, занимавшейся уязвимостями и методами их устранения.

По его словам, Microsoft уведомила его об увольнении в марте 2025 года с датой окончания в июне. На эти три месяца его освободили от работы. Причина увольнения в письме не указана.

Насери подчёркивает, что увольнение произошло за несколько месяцев до получения постоянного вида на жительство в Германии. Он утверждает, что это была одна из главных причин, побудивших его оспорить увольнение в трудовом суде Кельна.

Microsoft предлагала ему финансовое урегулирование — компенсацию 55 000 евро плюс годовую зарплату. Насери отказался, так как хотел остаться в стране, а не получить деньги. Судебное разбирательство обошлось ему более чем в 200 000 долларов, но суд оставил решение об увольнении в силе.

Насери сообщил, что конфликт с Microsoft серьёзно отразился на его финансовом и психологическом состоянии. Он проходит лечение в психиатрической клинике и ранее писал об «крайней изоляции и одиночестве».

Позже выяснилось, что часть его заявлений была ложной. Насери признал, что солгал о том, что Microsoft подала на него в суд. Эта история получила широкое распространение после резкой реакции Microsoft на публикацию 0-day-эксплоитов.

Другие эксплоиты и преследование

Nightmare Eclipse враждует с Microsoft с апреля 2026 года, регулярно публикуя эксплоиты для Windows, Defender, BitLocker и других компонентов. Уязвимости YellowKey, GreenPlasma и MiniPlasma уже исправлены Microsoft, но несколько других остаются без официальных патчей.

В последние недели исследователь переключился на продукты других вендоров, выпустив PoC-эксплоиты для Kaspersky Endpoint Security, CrowdStrike Falcon, Avast и NVIDIA.

Аккаунты Насери на GitHub и GitLab неоднократно блокировали и удаляли его код, но публикации продолжились в новых репозиториях под другими именами.