GitHub חסם חוקר אבטחה שפרסם ניצולי יום-אפס ל-Windows

חוקר אבטחה הידוע בשם Nightmare-Eclipse (המכונה גם Chaotic Eclipse) נחסם בפלטפורמת GitHub, בלי שהחברה נקבה בסיבה. החוקר העביר את הפרויקטים שלו ל-GitLab, ולטענתו מיקרוסופט מחקה את חשבון המיקרוסופט ששימש אותו לדיווח על פגיעויות.

סכסוך מתמשך עם מיקרוסופט

המחלוקת החלה בתחילת אפריל, כאשר Eclipse פרסם בלי התראה מוקדמת ניצול יום-אפס בשם BlueHammer. מאז פרסם החוקר כמה ניצולים נוספים ל-Windows והאשים את מרכז הטיפול באיומי סייבר של מיקרוסופט (MSRC) בכך שהוא מתעלם מדיווחים ומסרב לשלם תגמולים.

בפוסט בבלוג כינה Eclipse את חסימת החשבון נקמנות, ואמר שלא קיבל “אגורה אחת” תמורת עבודתו — רמז לכאורה לתוכנית התגמולים של MSRC, שמשלמת בין 30,000 ל-100,000 דולר עבור ניצול יום-אפס, ועד 250,000 דולר עבור פגיעות ב-Hyper-V. לדברי החוקר, ב-14 ביולי החברה “תשלם את החשבון”, כלומר יפורסמו ניצולים נוספים.

שישה ניצולים, חלקם כבר מנוצלים

בין הפרסומים של Eclipse: BlueHammer ו-RedSun, שמשיגים גישה ברמת SYSTEM דרך Windows Defender; UnDefend, שמשבית את Defender; GreenPlasma ו-MiniPlasma, שמגיעים ל-SYSTEM דרך רכיבים אחרים של Windows; ו-YellowKey, פגיעות ב-BitLocker שמאפשרת לפתוח כוננים מוצפנים בקלות.

השימוש הפעיל ב-BlueHammer, ב-RedSun וב-UnDefend בעולם האמיתי אושר, ובגלל שפורסם קוד הוכחה מלא או חלקי, מומחים מעריכים שכל מתעניין יכול להשתמש בהם.

ביקורת ותדמית בעייתית

חוקר האבטחה ויליאם דורמן מ-Tharros ציין שבעבר היה נעים מאוד לעבוד עם MSRC, אך מיקרוסופט פיטרה עובדים מיומנים כדי לחסוך כסף והותירה אחריה עובדים שפועלים לפי תרשים זרימה בלבד. לדעתו, ייתכן שהתיק נסגר לאחר שהחוקר סירב לשלוח סרטון של הניצול — דרישה שהיא כעת, לדבריו, חובה ב-MSRC.

מיקרוסופט לא הגיבה לנושא, ולכן לא ברור אם מדובר בחוקר שאינו משתף פעולה או בחברה שמתקשה להתמודד עם דיווחי פגיעויות. חסימת החשבון ב-GitHub ספגה ביקורת רחבה: הקוד ממילא פומבי, ולכן מחיקת החשבון לא מוסיפה דבר לאבטחה ורק מפנה תשומת לב לסכסוך.