GitHub-ը արգելափակել է Windows-ի zero-day-ներ հրապարակած հետազոտողին

Անվտանգության հետազոտող, որը հայտնի է Nightmare-Eclipse (նաև՝ Chaotic Eclipse) անունով, արգելափակվել է GitHub-ում. ընկերությունը պատճառ չի նշել։ Հետազոտողն իր նախագծերը տեղափոխել է GitLab, իսկ Microsoft-ը, նրա պնդմամբ, ջնջել է այն հաշիվը, որն օգտագործում էր խոցելիությունների մասին հաղորդելու համար։

Երկարատև վեճ Microsoft-ի հետ

Կոնֆլիկտը սկսվել է ապրիլի սկզբին, երբ Eclipse-ը առանց նախնական ծանուցման հրապարակեց BlueHammer անունով zero-day էքսպլոյթը։ Այդ ժամանակից ի վեր հետազոտողը հրապարակել է Windows-ի ևս մի քանի էքսպլոյթ և մեղադրել Microsoft-ի անվտանգության արձագանքման կենտրոնին (MSRC) հաշվետվություններն անտեսելու և պարգևավճարներ չվճարելու մեջ։

Բլոգի գրառման մեջ Eclipse-ը հաշվի արգելափակումը վրեժխնդրություն անվանեց և նշեց, որ դրա դիմաց «ոչ մի լումա չի ստացել»՝ ակնարկելով MSRC-ի բագ-բաունթի ծրագիրը, որը որակյալ zero-day-ի համար վճարում է 30 000-ից 100 000 դոլար, իսկ Hyper-V-ի խոցելիության համար՝ մինչև 250 000 դոլար։ Հետազոտողի խոսքով՝ հուլիսի 14-ին ընկերությունը «հաշիվ կտա», այսինքն՝ կհրապարակվեն նոր էքսպլոյթներ։

Վեց էքսպլոյթ, դրանց մի մասն արդեն կիրառվում է

Հրապարակված աշխատանքների թվում են BlueHammer-ը և RedSun-ը, որոնք Windows Defender-ի միջոցով ստանում են SYSTEM մակարդակի հասանելիություն, UnDefend-ը, որը անջատում է Defender-ը, GreenPlasma-ն ու MiniPlasma-ն, որոնք SYSTEM հասանելիություն են ստանում Windows-ի այլ բաղադրիչներով, և YellowKey-ը՝ BitLocker-ի խոցելիություն, որը թույլ է տալիս հեշտությամբ բացել գաղտնագրված սկավառակները։

BlueHammer-ի, RedSun-ի և UnDefend-ի ակտիվ կիրառումը իրական հարձակումներում հաստատված է։ Քանի որ Eclipse-ը հրապարակել է ամբողջական կամ մասնակի proof-of-concept կոդը, փորձագետների կարծիքով՝ այն կարող է օգտագործել ցանկացած շահագրգիռ անձ։

Քննադատություն և վատ տպավորություն

Tharros-ի անվտանգության հետազոտող Ուիլյամ Դորմանը նշել է, որ MSRC-ի հետ աշխատանքը նախկինում «շատ լավ» էր, սակայն Microsoft-ը գումար խնայելու նպատակով ազատել է փորձառու մասնագետներին՝ թողնելով միայն «հրահանգների հետևորդներին»։ Նրա կարծիքով՝ գործը հնարավոր է փակվել է այն բանից հետո, երբ հետազոտողը հրաժարվել է ուղարկել էքսպլոյթի տեսանյութը, ինչը, նրա խոսքով, այժմ MSRC-ի պարտադիր պահանջ է։

Microsoft-ը այս հարցի շուրջ մեկնաբանություն չի տվել, ուստի պարզ չէ՝ խոսքը ոչ համագործակցող հետազոտողի՞ մասին է, թե՞ ընկերության, որին դժվար է տրվում անվտանգության հաշվետվությունների մշակումը։ GitHub-ից արգելափակումը լայն քննադատության արժանացավ. կոդը, այնուամենայնիվ, հրապարակային է, ուստի հաշվի ջնջումը ոչինչ չի ավելացնում անվտանգությանը և միայն ուշադրություն է հրավիրում կոնֆլիկտի վրա։