Просмотр новости
Найдите то, что Вас интересует
Спутники
РН
SpaceX
Роскосмос
NASA
Восемь 0-day против Microsoft. Как Nightmare Eclipse превратил раскрытие уязвимостей в личную войну
Дата публикации: 29-07-2026 07:12:16
Для подписчиковВесной 2026 года в ИБ-сообществе начался конфликт, который быстро вышел за пределы обычного спора исследователя с компанией. Специалист, известный под ником Nightmare Eclipse (он же Chaotic Eclipse), начал публиковать рабочие эксплоиты для еще не исправленных уязвимостей в Windows, Microsoft Defender и BitLocker. За несколько месяцев на его счету оказалось восемь публично раскрытых 0-day, причем часть из них практически сразу начали применять злоумышленники.
Основное содержимое страницы с новостью.
Весной 2026 года в ИБ‑сообществе начался конфликт, который быстро вышел за пределы обычного спора исследователя с компанией. Специалист, известный под ником Nightmare Eclipse (он же Chaotic Eclipse), начал публиковать рабочие эксплоиты для еще не исправленных уязвимостей в Windows, Microsoft Defender и BitLocker. За несколько месяцев на его счету оказалось восемь публично раскрытых 0-day, причем часть из них практически сразу начали применять злоумышленники.
Сам исследователь утверждает, что его действия — это протест против того, как специалисты Microsoft Security Response Center (MSRC) обращаются с ИБ‑специалистами, которые сообщают об уязвимостях.
По его словам, в MSRC игнорировали его отчеты, не выплачивали вознаграждения, лишили его доступа к учетной записи MSRC, а позже и вовсе добились блокировки репозиториев с эксплоитами на GitHub и GitLab. Кроме того, представители MSRC якобы угрожали «разрушить его жизнь».
В свою очередь, в Microsoft обвинили Nightmare Eclipse в отказе от скоординированного раскрытия уязвимостей, а также подчеркивали, что публикация эксплоитов до выхода патчей в первую очередь ставит под удар пользователей.
Так началась гонка «брони и снаряда»: разработчики Microsoft исправляли раскрытые исследователем баги, а Nightmare Eclipse публиковал новые эксплоиты после каждого «вторника обновлений». Последний эпизод этого конфликта связан с уязвимостью RoguePlanet: компания устранила эту проблему в Defender, однако исследователь заявил, что дополнительные защитные изменения в патче создали новый опасный сценарий.
«Я не блефовал»Эта история началась с уязвимости BlueHammer, которая связана с локальным повышением привилегий в Windows. В начале апреля 2026 года Nightmare Eclipse выложил PoC-эксплоит на GitHub и сопроводил публикацию коротким обращением к представителям Microsoft: «Я не блефовал, Microsoft, и делаю это снова». Также он саркастически поблагодарил руководителей MSRC и добавил, что на этот раз не собирается объяснять им, как работает проблема: «Вы, гении, сами разберетесь».
Аккаунт Nightmare Eclipse на GitHubПредполагается, что одной из возможных причин раздражения исследователя могло быть требование MSRC прикладывать к отчетам видео с демонстрацией эксплоита — эту практику ранее критиковали и другие специалисты.
В своем послании Nightmare Eclipse дал понять, что недоволен решением MSRC, вынесенным по его отчету, и предупредил, что PoC может работать нестабильно. Однако вскоре известный ИБ‑аналитик компании Tharros Уилл Дорманн (Will Dormann) подтвердил работоспособность эксплоита и рассказал, что BlueHammer сочетает в себе методы TOCTOU (time-of-check to time-of-use) и path confusion. В случае успешной атаки злоумышленник получал доступ к базе Security Account Manager (SAM), где хранятся хеши паролей локальных учетных записей, и мог повысить свои привилегии до уровня SYSTEM.
Работа эксплоита для BlueHammerПозднее Microsoft присвоила проблеме идентификатор CVE-2026-33825 и исправила ее в рамках апрельского «вторника обновлений».
Однако уже через несколько дней стало ясно, что BlueHammer был только началом. Nightmare Eclipse опубликовал еще два эксплоита для Microsoft Defender — RedSun и UnDefend. На этот раз он прямо заявлял, что мстит MSRC. Он обвинил представителей Microsoft в угрозах и унижении, а также пообещал отвечать публикацией новых эксплоитов и 0-day на каждый выпущенный компанией патч. Он писал:
Обычно я проходил весь этот процесс, умоляя их исправить баг, но теперь — если коротко — они вытерли мной пол и использовали все ребяческие приемы, какие только могли. В какой‑то момент стало настолько плохо, что я не мог понять, правда ли имею дело с огромной корпорацией или с кем‑то, кому просто нравится смотреть, как я страдаю.
Эксплуатация RedSunВскоре специалисты компании Huntress предупредили, что хакеры уже применяют BlueHammer, RedSun и UnDefend в реальных атаках. В частности, эксперты писали, что нашли на скомпрометированном устройстве эксплоиты для уязвимостей, раскрытых Nightmare Eclipse: первый начали применять 10 апреля 2026 года, два других — 16 апреля. Перед запуском эксплоитов злоумышленники вручную выполняли команды whoami /priv, cmdkey /list и net group, то есть эксплуатировали баги уже после первоначального взлома.
Эксплоит после каждого патчаПосле майского «вторника обновлений» Nightmare Eclipse продолжил обещанную кампанию и раскрыл информацию об уязвимостях YellowKey и GreenPlasma. Одновременно он обвинил Microsoft в том, что компания незаметно устранила проблему RedSun, не присваивая проблеме идентификатор CVE, не выпустив отдельного уведомления о патче и не признав, что уязвимость уже активно эксплуатируют хакеры.
Эксплуатация GreenPlasma
Схожие новости
Классификация: Мнения. Схожих патентов: 0. Схожих новостей: 10. Тональность: 0. Информативность: 10.15. Источник: xakep.ru.