Почему несколько антивирусов могут нарушить работу Windows

Одновременная установка нескольких антивирусных программ в Windows может не повысить безопасность, а, напротив, сделать систему менее стабильной. Об этом рассказал ветеран Microsoft и инженер Рэймонд Чен, приведя в качестве примера случай из практики корпоративной поддержки.

В Windows 11 уже есть встроенный Microsoft Defender. Несмотря на то что Microsoft больше не называет его единственным необходимым средством защиты, антивирус регулярно показывает хорошие результаты в независимых тестах безопасности. Тем не менее пользователи иногда устанавливают сторонние решения — из-за недоверия к Defender, опасений по поводу потребления ресурсов или предпочтения конкретного разработчика.

В описанном Ченом случае специалисты долго искали причину сложного сбоя, пока не обнаружили конфликт между двумя антивирусами, условно названными Fabrikam и Contoso. Эти названия Microsoft использует для обезличивания реальных или предполагаемых организаций. Оба продукта считали действия друг друга подозрительными: один антивирус вызывал функцию, которую другой пытался заблокировать, после чего происходили новые взаимные перехваты.

В результате программы фактически мешали работе друг друга и провоцировали сбои в системе. Чен сравнил такую конфигурацию с ситуацией, когда две охранные фирмы одновременно патрулируют один этаж, не зная о присутствии и задачах другой. Вместо дополнительной защиты возникает хаос, поскольку каждая сторона воспринимает действия другой как потенциальную угрозу.

Почему антивирусы конфликтуют

Антивирусное программное обеспечение часто использует механизмы, которые не относятся к официально поддерживаемым интерфейсам Windows. В частности, программы могут перехватывать системные функции, чтобы проверять операции с файлами, процессами и другими объектами.

При таком перехвате вызов системной функции сначала попадает в антивирус. Он может изменить обработку запроса или выполнить дополнительные действия, не связанные напрямую с исходной операцией. Если аналогичным образом поступает второй антивирус, цепочка перехватов становится непредсказуемой и способна привести к зависанию или аварийному завершению работы системы.

Чен не раскрыл подробности расследования и не сообщил, какие именно меры позволили устранить проблему. Можно предположить, что поддержку пришлось подключать к разработчикам обоих продуктов, однако на практике наиболее простым решением в подобных случаях может быть удаление одного из антивирусов. Производители и названия программ в этом эпизоде также не раскрываются: конфликт теоретически возможен между решениями любых разработчиков.

Отдельно о проблеме с обновлением Defender

На этом фоне бывший сотрудник подразделения Microsoft V&M и инженер по информационной безопасности Абдельхамид Насери, известный под псевдонимами Nightmare Eclipse и MSNightmare, опубликовал описание уязвимости в Microsoft Defender под названием BigDiskBuster. Она обозначена как Windows Defender Update Denial of Service Vulnerability.

По утверждению автора, BigDiskBuster представляет собой локальный пример эксплуатации, или PoC, позволяющий вызвать отказ в обслуживании механизма обновления антивируса. В исходном сообщении не приводятся дополнительные сведения о масштабе проблемы, затронутых версиях Windows и наличии исправления.