GitHub заблокував дослідника, який публікував zero-day експлойти для Windows

Дослідника безпеки, відомого під псевдонімом Nightmare-Eclipse (він же Chaotic Eclipse), заблокували на GitHub — компанія не назвала причин. Свої проєкти дослідник переніс на GitLab, а Microsoft, за його словами, видалила обліковий запис, який він використовував для повідомлень про вразливості.

Тривалий конфлікт із Microsoft

Суперечка почалася на початку квітня, коли Eclipse без попередження опублікував zero-day експлойт під назвою BlueHammer. Відтоді дослідник випустив ще кілька експлойтів для Windows і звинуватив Центр реагування на загрози безпеки Microsoft (MSRC) в ігноруванні звітів і відмові виплачувати винагороди.

У дописі в блозі Eclipse назвав блокування акаунта помстою і зазначив, що «не отримав жодного пенні» — це, ймовірно, натяк на програму винагород MSRC, яка платить від 30 000 до 100 000 доларів за кваліфікований zero-day і до 250 000 доларів за вразливість у Hyper-V. За словами дослідника, 14 липня компанія «отримає своє», що означає нові публікації експлойтів.

Шість експлойтів, частина вже використовується

Серед опублікованих робіт — BlueHammer і RedSun, які отримують доступ рівня SYSTEM через Windows Defender, UnDefend, що вимикає Defender, GreenPlasma і MiniPlasma, які досягають SYSTEM через інші компоненти Windows, а також YellowKey — вада BitLocker, що дозволяє легко відкривати зашифровані диски.

Активне використання BlueHammer, RedSun і UnDefend у реальних атаках підтверджено. Оскільки Eclipse опублікував повний або частковий proof-of-concept код, експерти зазначають, що скористатися ним може будь-хто зацікавлений.

Критика та поганий вигляд

Дослідник безпеки Вільям Дорманн із Tharros зауважив, що з MSRC раніше «було дуже приємно працювати», але компанія заради економії звільнила кваліфікованих фахівців, залишивши тих, хто діє за інструкцією. Він припустив, що справу могли закрити після того, як дослідник відмовився надіслати відео експлойта, — нині, за його словами, це обов’язкова вимога MSRC.

Microsoft жодних коментарів не дала, тож незрозуміло, чи йдеться про непоступливого дослідника, чи про компанію, якій складно опрацьовувати звіти про вразливості. Блокування на GitHub викликало широку критику: код і так публічний, тому видалення акаунта нічого не додає безпеці й лише привертає увагу до конфлікту.