Os Seis Exploits que Abalaram a Segurança do Windows: Linha do Tempo do Caso Nightmare-Eclipse

Resumo dos Exploits e Status de Correção

Três das seis vulnerabilidades foram corrigidas até o final de maio de 2026. Outras três permanecem sem solução, com o MiniPlasma representando o risco operacional mais imediato.

O MiniPlasma é especialmente perigoso porque permite que um usuário comum obtenha privilégios de SISTEMA em um sistema com todas as atualizações de maio de 2026 aplicadas . Ele explora o mesmo driver cldflt.sys (Arquivos em Nuvem) que o BlueHammer usou, reativando uma vulnerabilidade de 2020 que o pesquisador alega que a Microsoft nunca corrigiu totalmente .

A Motivação do Pesquisador: Um Protesto Contra o MSRC

O pesquisador descreveu explicitamente as divulgações como uma retaliação pelo mau tratamento recebido do MSRC. Declarações públicas indicam que envios privados anteriores foram ignorados, tratados com lentidão, ou alvo de exigências consideradas excessivas pelo pesquisador — incluindo, segundo relatos, um pedido para uma demonstração em vídeo do exploit . Uma alegação recorrente atribuída ao pesquisador afirma que o MSRC ameaçou "arruinar minha vida e eles conseguiram" .

O momento dos últimos lançamentos — um dia após o Patch Tuesday — foi claramente planejado para maximizar a exposição e a pressão. YellowKey e GreenPlasma foram lançados em 12 de maio, imediatamente após o ciclo de correções da Microsoft, e o MiniPlasma veio em 17 de maio .

A Resposta da Microsoft e a Ameaça Legal

Em 27 de maio, a Microsoft publicou um artigo intitulado "Uma responsabilidade compartilhada: Protegendo os clientes através da divulgação coordenada de vulnerabilidades" . O texto:

• Nomeou todos os seis exploits e afirmou que não foram "divulgados de forma responsável" .
• Instou a comunidade de segurança a seguir as práticas de Divulgação Coordenada de Vulnerabilidades (CVD).
• Incluiu uma ameaça velada da Unidade de Crimes Digitais da Microsoft, alertando que a divulgação pública de exploits pode ter consequências legais .

A linguagem da Microsoft escalou o conflito, mas não resolveu o problema central: três zero-days permaneciam sem correção. As plataformas que hospedavam o código também agiram: o GitHub por volta de 23 de maio, e o GitLab alguns dias depois, encerrando as contas do pesquisador .

Exploração Ativa e Alertas Institucionais

Em meados de abril, todos os três exploits iniciais do Defender já estavam sob exploração ativa. Huntress e Barracuda identificaram agentes maliciosos usando o código de prova de conceito diretamente de repositórios públicos do GitHub e se aproveitando de uma infraestrutura com geolocalização na Rússia .

A CISA reagiu rapidamente. O BlueHammer foi adicionado ao catálogo KEV em 22 de abril, com um prazo para correção até 6 de maio para agências federais . RedSun e UnDefend foram adicionados posteriormente, com prazo até 3 de junho . Essas medidas refletem uma preocupação profunda: quando as próprias ferramentas de segurança se tornam o vetor de ataque, os modelos tradicionais de defesa se quebram.

Reação da Comunidade: Um Processo de Divulgação Falido

A comunidade de cibersegurança reagiu com opiniões divididas.

As críticas ao pesquisador vieram da Barracuda, ThreatLocker e LevelBlue, que caracterizaram a campanha como perigosa e contraproducente . Divulgar publicamente exploits funcionais colocou usuários corporativos em risco imediato, sem que houvesse uma correção disponível.

As críticas à Microsoft foram igualmente contundentes. Muitos especialistas notaram que toda a situação poderia ter sido evitada com um processo mais respeitoso e ágil por parte do MSRC. As divulgações reavivaram queixas antigas: triagem lenta, comunicação opaca e uma postura adversária contra pesquisadores que não se encaixam no modelo corporativo de recompensas .

Um ponto que chamou a atenção foi o fato de a Microsoft ameaçar com ações legais enquanto três exploits permaneciam sem correção — uma atitude que comentaristas chamaram de teatral e com prioridades equivocadas .

O Que Vem a Seguir

O pesquisador ficou em silêncio, mas não parou. Após perder o acesso às plataformas, ele passou a operar a partir de um blog pessoal e ameaçou explicitamente uma nova divulgação em massa em 14 de julho — a data do próximo Patch Tuesday. Não se sabe se a ameaça é real, mas o padrão está estabelecido.

Para as equipes de segurança, a prioridade imediata é clara: aplicar as correções emergenciais do Defender, implementar as mitigações para o YellowKey (removendo a entrada autofstx.exe do valor BootExecute e habilitando TPM+PIN para o BitLocker) e tratar o MiniPlasma como uma ameaça ativa sem solução oficial. É preciso monitorar o lançamento de novas provas de conceito perto dos próximos Patch Tuesdays e preparar controles de compensação para componentes do Defender que os invasores agora miram sistematicamente.

O episódio Nightmare-Eclipse não se trata apenas de seis vulnerabilidades. É um teste de estresse para a relação entre os grandes fornecedores de plataformas e os pesquisadores de quem eles tanto dependem. Quando essa relação se rompe, as consequências são públicas, fáceis de explorar e severas.