GitHub يحظر باحثاً أمنياً نشر ثغرات يوم الصفر في ويندوز

حُظر حساب باحث أمني يُعرف باسم Nightmare-Eclipse (ويُلقب أيضاً بـ Chaotic Eclipse) على منصة GitHub، من دون أن تذكر الشركة الأسباب. ونقل الباحث مشاريعه إلى GitLab، وقال إن مايكروسوفت حذفت الحساب الذي كان يستخدمه للإبلاغ عن الثغرات.

خلاف طويل مع مايكروسوفت

بدأ الخلاف في مطلع أبريل، عندما نشر Eclipse ثغرة يوم الصفر المسماة BlueHammer من دون تحذير مسبق. ومنذ ذلك الحين نشر الباحث عدة ثغرات أخرى في ويندوز، واتهم مركز الاستجابة الأمنية في مايكروسوفت (MSRC) بتجاهل تقاريره ورفض دفع مكافآت الثغرات.

وفي تدوينة، وصف Eclipse حظر الحساب بأنه انتقامي، وقال إنه «لم يحصل على فلس واحد» مقابل عمله، في إشارة على ما يبدو إلى برنامج المكافآت في MSRC، الذي يدفع ما بين 30 ألفاً و100 ألف دولار مقابل ثغرة يوم صفر مؤهلة، وما يصل إلى 250 ألف دولار مقابل ثغرة في Hyper-V. ويقول الباحث إن الشركة «ستدفع الحساب» في 14 يوليو، أي إن ثغرات جديدة ستُنشر.

ست ثغرات، بعضها مستخدم فعلاً

من بين الأعمال المنشورة BlueHammer وRedSun اللذان يحصلان على وصول بمستوى SYSTEM عبر Windows Defender، وUnDefend الذي يعطّل Defender، وGreenPlasma وMiniPlasma اللذان يصلان إلى SYSTEM عبر مكونات أخرى في ويندوز، وYellowKey وهي ثغرة في BitLocker تتيح فتح الأقراص المشفرة بسهولة.

وأُكد الاستغلال الفعلي لكل من BlueHammer وRedSun وUnDefend في هجمات حقيقية. ولأن Eclipse نشر كود إثبات مفهوم كاملاً أو جزئياً، يرى الخبراء أن أي شخص مهتم يستطيع استخدامها.

انتقادات وصورة سيئة

وقال الباحث الأمني ويليام دورمان من شركة Tharros إن التعامل مع MSRC كان «جيداً جداً» في السابق، لكن مايكروسوفت سرّحت موظفين مهرة لتوفير المال، ولم يبقَ سوى «متّبعي المخططات». ويرجح أن القضية أُغلقت بعد أن رفض الباحث إرسال فيديو يوضح الاستغلال، وهي خطوة يقول إنها أصبحت شرطاً إلزامياً في MSRC.

ولم تعلّق مايكروسوفت على الموضوع، لذا يبقى غير واضح ما إذا كان الأمر يتعلق بباحث غير متعاون أو بشركة تجد صعوبة في معالجة تقارير الثغرات. أما الحظر على GitHub فقد تعرض لانتقادات واسعة: الكود منشور على أي حال، وحذف الحساب لا يضيف شيئاً إلى الأمن، بل يلفت الانتباه إلى الخلاف فحسب.