GitHub Windows zero-day istismarlarını yayımlayan tədqiqatçını bloklayıb

Nightmare-Eclipse (həmçinin Chaotic Eclipse) adı ilə tanınan təhlükəsizlik tədqiqatçısının GitHub hesabı şirkətin göstərmədiyi səbəblərdən bloklanıb. Tədqiqatçı layihələrini GitLab-a köçürüb; onun iddiasına görə, Microsoft da zəiflikləri bildirmək üçün istifadə etdiyi hesabı silib.

Microsoft ilə uzun sürən mübahisə

Münaqişə aprelin əvvəlində, Eclipse-in əvvəlcədən xəbərdarlıq etmədən BlueHammer adlı zero-day istismarını yayımlaması ilə başlayıb. O vaxtdan bəri tədqiqatçı Windows üçün daha bir neçə istismar yayımlayıb və Microsoft-un Təhlükəsizlik Reaksiya Mərkəzini (MSRC) hesabatları görməzdən gəlməkdə və mükafatları ödəməməkdə ittiham edib.

Bloq yazısında Eclipse hesabın bloklanmasını qisas adlandırıb və bunun müqabilində “bir qəpik də almadığını” bildirib; bu, keyfiyyətli zero-day üçün 30 000-dən 100 000 dollara qədər, Hyper-V zəifliyi üçün isə 250 000 dollara qədər ödəniş edən MSRC mükafat proqramına işarə kimi görünür. Tədqiqatçının sözlərinə görə, 14 iyulda şirkət “hesabını verəcək”, yəni yeni istismarlar yayımlanacaq.

Altı istismar, bəziləri artıq istifadə olunur

Yayımlanan işlər arasında Windows Defender vasitəsilə SYSTEM səviyyəli giriş əldə edən BlueHammer və RedSun, Defender-i söndürən UnDefend, SYSTEM girişini Windows-un digər komponentləri ilə əldə edən GreenPlasma və MiniPlasma, həmçinin şifrələnmiş disklərin asanlıqla açılmasına imkan verən BitLocker zəifliyi YellowKey yer alır.

BlueHammer, RedSun və UnDefend-in real hücumlarda aktiv istifadəsi təsdiqlənib. Eclipse tam və ya qismən proof-of-concept kodu yayımladığı üçün ekspertlər hesab edir ki, maraqlanan hər kəs onlardan istifadə edə bilər.

Tənqid və pis təəssürat

Tharros şirkətindən təhlükəsizlik tədqiqatçısı Uilyam Dormann qeyd edib ki, MSRC ilə iş əvvəllər çox yaxşı idi, lakin Microsoft pul qənaət etmək üçün təcrübəli mütəxəssisləri işdən çıxarıb və yalnız təlimatla hərəkət edənləri saxlayıb. Onun fikrincə, iş tədqiqatçı istismarın videosunu göndərməkdən imtina etdikdən sonra bağlanmış ola bilər; Dormann bunun artıq MSRC-də məcburi tələb olduğunu deyir.

Microsoft mövzu ilə bağlı şərh verməyib, ona görə də bunun əməkdaşlıq etməyən tədqiqatçı, yoxsa təhlükəsizlik hesabatlarını emal etməkdə çətinlik çəkən şirkət olduğu aydın deyil. GitHub-dakı bloklama geniş tənqidə səbəb olub: kod onsuz da açıqdır, buna görə hesabın silinməsi təhlükəsizliyə heç nə qatmır və yalnız mübahisəyə diqqət çəkir.