Восемь 0-day против Microsoft. Как Nightmare Eclipse превратил раскрытие уязвимостей в личную войну

Сам иссле­дова­тель утвер­жда­ет, что его дей­ствия — это про­тест про­тив того, как спе­циалис­ты Microsoft Security Response Center (MSRC) обра­щают­ся с ИБ‑спе­циалис­тами, которые сооб­щают об уяз­вимос­тях.

По его сло­вам, в MSRC игно­риро­вали его отче­ты, не вып­лачива­ли воз­награж­дения, лишили его дос­тупа к учет­ной записи MSRC, а поз­же и вов­се добились бло­киров­ки репози­тори­ев с экс­пло­ита­ми на GitHub и GitLab. Кро­ме того, пред­ста­вите­ли MSRC яко­бы угро­жали «раз­рушить его жизнь».

В свою оче­редь, в Microsoft обви­нили Nightmare Eclipse в отка­зе от ско­орди­ниро­ван­ного рас­кры­тия уяз­вимос­тей, а так­же под­черки­вали, что пуб­ликация экс­пло­итов до выхода пат­чей в пер­вую оче­редь ста­вит под удар поль­зовате­лей.

Так началась гон­ка «бро­ни и сна­ряда»: раз­работ­чики Microsoft исправ­ляли рас­кры­тые иссле­дова­телем баги, а Nightmare Eclipse пуб­ликовал новые экс­пло­иты пос­ле каж­дого «втор­ника обновле­ний». Пос­ледний эпи­зод это­го кон­флик­та свя­зан с уяз­вимостью RoguePlanet: ком­пания устра­нила эту проб­лему в Defender, одна­ко иссле­дова­тель заявил, что допол­нитель­ные защит­ные изме­нения в пат­че соз­дали новый опас­ный сце­нарий.

«Я не блефовал»

Эта исто­рия началась с уяз­вимос­ти BlueHammer, которая свя­зана с локаль­ным повыше­нием при­виле­гий в Windows. В начале апре­ля 2026 года Nightmare Eclipse выложил PoC-экс­пло­ит на GitHub и соп­роводил пуб­ликацию корот­ким обра­щени­ем к пред­ста­вите­лям Microsoft: «Я не бле­фовал, Microsoft, и делаю это сно­ва». Так­же он сар­касти­чес­ки поб­лагода­рил руково­дите­лей MSRC и добавил, что на этот раз не собира­ется объ­яснять им, как работа­ет проб­лема: «Вы, гении, сами раз­беретесь».

Пред­полага­ется, что одной из воз­можных при­чин раз­дра­жения иссле­дова­теля мог­ло быть тре­бова­ние MSRC прик­ладывать к отче­там видео с демонс­тра­цией экс­пло­ита — эту прак­тику ранее кри­тико­вали и дру­гие спе­циалис­ты.

В сво­ем пос­лании Nightmare Eclipse дал понять, что недово­лен решени­ем MSRC, вынесен­ным по его отче­ту, и пре­дуп­редил, что PoC может работать нес­табиль­но. Одна­ко вско­ре извес­тный ИБ‑ана­литик ком­пании Tharros Уилл Дор­манн (Will Dormann) под­твер­дил работос­пособ­ность экс­пло­ита и рас­ска­зал, что BlueHammer сочета­ет в себе методы TOCTOU (time-of-check to time-of-use) и path confusion. В слу­чае успешной ата­ки зло­умыш­ленник получал дос­туп к базе Security Account Manager (SAM), где хра­нят­ся хеши паролей локаль­ных учет­ных записей, и мог повысить свои при­виле­гии до уров­ня SYSTEM.

Поз­днее Microsoft прис­воила проб­леме иден­тифика­тор CVE-2026-33825 и ис­пра­вила ее в рам­ках апрель­ско­го «втор­ника обновле­ний».

Од­нако уже через нес­коль­ко дней ста­ло ясно, что BlueHammer был толь­ко началом. Nightmare Eclipse опуб­ликовал еще два экс­пло­ита для Microsoft Defender — RedSun и UnDefend. На этот раз он пря­мо заяв­лял, что мстит MSRC. Он обви­нил пред­ста­вите­лей Microsoft в угро­зах и уни­жении, а так­же пообе­щал отве­чать пуб­ликаци­ей новых экс­пло­итов и 0-day на каж­дый выпущен­ный ком­пани­ей патч. Он писал:

Обыч­но я про­ходил весь этот про­цесс, умо­ляя их испра­вить баг, но теперь — если корот­ко — они вытер­ли мной пол и исполь­зовали все ребячес­кие при­емы, какие толь­ко мог­ли. В какой‑то момент ста­ло нас­толь­ко пло­хо, что я не мог понять, прав­да ли имею дело с огромной кор­пораци­ей или с кем‑то, кому прос­то нра­вит­ся смот­реть, как я стра­даю.

Вско­ре спе­циалис­ты ком­пании Huntress пре­дуп­редили, что хакеры уже при­меня­ют BlueHammer, RedSun и UnDefend в реаль­ных ата­ках. В час­тнос­ти, экспер­ты писали, что наш­ли на ском­про­мети­рован­ном устрой­стве экс­пло­иты для уяз­вимос­тей, рас­кры­тых Nightmare Eclipse: пер­вый начали при­менять 10 апре­ля 2026 года, два дру­гих — 16 апре­ля. Перед запус­ком экс­пло­итов зло­умыш­ленни­ки вруч­ную выпол­няли коман­ды whoami /priv, cmdkey /list и net group, то есть экс­плу­ати­рова­ли баги уже пос­ле пер­воначаль­ного взло­ма.

Эксплоит после каждого патча

Пос­ле май­ско­го «втор­ника обновле­ний» Nightmare Eclipse про­дол­жил обе­щан­ную кам­панию и рас­крыл информа­цию об уяз­вимос­тях YellowKey и GreenPlasma. Одновре­мен­но он обви­нил Microsoft в том, что ком­пания незамет­но устра­нила проб­лему RedSun, не прис­ваивая проб­леме иден­тифика­тор CVE, не выпус­тив отдель­ного уве­дом­ления о пат­че и не приз­нав, что уяз­вимость уже активно экс­плу­ати­руют хакеры.