Один человек буквально поставил на уши безопасность Windows — и интернет, похоже, сейчас не особо на стороне Microsoft.

С начала апреля анонимный исследователь под ником Nightmare Eclipse выкатил уже шесть рабочих эксплойтов для Windows. Без предупреждений, без согласования с Microsoft — просто сразу в паблик. И судя по данным защитников, эти штуки уже начали использовать в реальных атаках.

Шесть уязвимостей за шесть недель.

И это не госгруппа и не банда вымогателей. Судя по всему, речь про одного человека, у которого серьёзный конфликт с Microsoft. Есть версии, что он вообще бывший сотрудник компании.

Что именно утекло: BlueHammer и RedSun — дыры в Microsoft Defender с получением SYSTEM-прав. UnDefend позволяет тихо отключать обновления антивирусных баз. YellowKey — обход BitLocker через обычную флешку. GreenPlasma и MiniPlasma — свежие публикации прошлой недели.

Самая неприятная история — MiniPlasma. Эксплойт использует уязвимость, которую Microsoft считал закрытой ещё в 2020 году. Но независимые тесты показали, что она работает даже на полностью обновлённых Windows 11. А если собрать несколько эксплойтов в цепочку, атака может запускаться удалённо — через Office-документы или SMB. Huntress Labs пишет, что реальные атаки идут уже с 10 апреля.

То есть для корпоративных сетей это очень плохие новости: отключение Defender, обход BitLocker и удалённое выполнение кода — неприятная комбинация даже для обновлённых систем.

Если верить самому Nightmare Eclipse, причина всей истории личная: MSRC якобы отклонил его отчёты и удалил аккаунт, через который он их отправлял. В первом посте он написал: «Кто-то нарушил наше соглашение и оставил меня без жилья и без ничего». При этом MSRC официально платит до $100 000 за zero-day, но он утверждает, что не получил вообще ничего. Microsoft публично это пока не комментирует.

Сегодня Microsoft впервые нарушил молчание: заявила, что публикация эксплойтов «никогда не может быть оправдана», и намекнула на возможные юридические меры.

Но в итоге это ударило скорее по самой Microsoft.

Под заявлением MSRC быстро появились десятки историй от исследователей: отчёты игнорировали, критичность занижали, выплаты не приходили, а уязвимости потом тихо исправляли без упоминания автора. Самый громкий комментарий оставил Реми Гаску из SpecterOps: по его словам, Microsoft не признал и не оплатил найденную им уязвимость, но исправил её спустя месяц.

Отдельно прилетело GitHub. Платформа принадлежит Microsoft, и многие восприняли блокировку аккаунта как использование общей инфраструктуры в корпоративной разборке. Тем более удаление кода не уничтожает эксплойты — они просто уходят в закрытые каналы, где защитникам сложнее за ними следить.

Но есть и противоположная позиция. Barracuda и часть defensive security-сообщества считают, что раз эксплойты уже используются против реальных компаний, а часть инфраструктуры связывают с российскими операторами, то Nightmare Eclipse — это уже не исследователь, а злоумышленник.

Сейчас три уязвимости всё ещё без патчей. Исправления обещают 9 июня. Следующую дату публикаций Nightmare Eclipse назвал сам — 14 июля.

Похоже, история ещё далека от финала.

@gostev_future