Внутри кампании Nightmare-Eclipse: Шестинедельная вендетта против Microsoft Windows

Сводка по эксплойтам и статус исправлений

К концу мая 2026 года три из шести уязвимостей были исправлены. Три оставались нерешенными, при этом MiniPlasma представлял наиболее серьезную оперативную угрозу.

MiniPlasma особенно опасен, потому что позволяет обычному пользователю получить максимальные привилегии SYSTEM на системе со всеми свежими обновлениями . Он использует тот же драйвер облачных файлов cldflt.sys, что и BlueHammer, повторно активируя уязвимость 2020 года, которая, по мнению исследователя, так и не была полностью исправлена Microsoft .

Мотивация исследователя: протест против MSRC

Исследователь недвусмысленно назвал публикацию эксплойтов актом возмездия за плохое обращение со стороны MSRC. Согласно публичным заявлениям, его предыдущие закрытые отчеты отклонялись, рассматривались медленно или сопровождались требованиями, которые исследователь счел чрезмерными — сообщается, что от него потребовали предоставить видеодемонстрацию работы эксплойта .

В заявлениях исследователя повторяется утверждение: «Мне лично сказали, что они разрушат мою жизнь, и они это сделали» ("I was told personally by them that they will ruin my life and they did") . Время публикации последних эксплойтов — на следующий день после «вторника патчей» — было намеренным, чтобы максимизировать эффект и давление. YellowKey и GreenPlasma были выпущены 12 мая сразу после майского цикла обновлений, а MiniPlasma — 17 мая .

Ответ Microsoft и юридическая угроза

27 мая Microsoft опубликовала в корпоративном блоге статью под заголовком «Общая ответственность: защита клиентов через скоординированное раскрытие уязвимостей» («A shared responsibility: Protecting customers through coordinated vulnerability disclosure») . В посте:

• Все шесть эксплойтов были названы «раскрытыми неответственно» .
• Сообщество специалистов по безопасности призвали следовать практике координированного раскрытия (CVD).
• Содержалась завуалированная угроза от Digital Crimes Unit Microsoft: публичное распространение рабочего кода эксплойта может повлечь юридические последствия .

Хотя риторика Microsoft обострила конфликт, она не решила главную проблему: три уязвимости остались без исправлений. Платформы, на которых был размещен код, — GitHub (около 23 мая) и GitLab (несколькими днями позже) — предприняли меры, удалив аккаунты исследователя .

Активная эксплуатация и сигнал тревоги от регуляторов

К середине апреля все три изначальных эксплойта для Defender активно использовались злоумышленниками. Компании Huntress и Barracuda обнаружили, что хакеры используют PoC-код прямо из публичных репозиториев GitHub, а их инфраструктура привязана к российским IP-адресам .

CISA отреагировало оперативно. BlueHammer был добавлен в каталог KEV 22 апреля с требованием к федеральным агентствам установить патч до 6 мая . Позже в каталог были добавлены RedSun и UnDefend с дедлайном 3 июня . Такая скорость реакции отражает глубокую озабоченность: когда сами инструменты безопасности становятся вектором атаки, традиционные модели защиты перестают работать.

Реакция сообщества: сломанный процесс раскрытия

Реакция сообщества кибербезопасности разделилась.

Критика в адрес исследователя прозвучала от Barracuda, ThreatLocker и LevelBlue. Компании охарактеризовали кампанию как опасную и контрпродуктивную — публикация рабочих эксплойтов без патча ставит под немедленный удар корпоративных пользователей .

Критика в адрес Microsoft была не менее острой. Многие отметили, что всей этой истории можно было бы избежать при более уважительном и оперативном реагировании MSRC. Инцидент возродил давние претензии: медленная сортировка отчетов, непрозрачная коммуникация и враждебное отношение к исследователям, не вписывающимся в рамки корпоративных программ Bug Bounty .

Особенно показательный момент: Microsoft угрожала юридическими мерами, в то время как три эксплойта оставались без патча — шаг, который многие комментаторы назвали показным и несвоевременным .

Что дальше?

Исследователь замолчал, но не исчез. Потеряв доступ к платформам, он перешел на личный блог и прямо пригрозил новой массовой публикацией 14 июля — в день следующего «вторника патчей» . Насколько реальна эта угроза, пока неизвестно, но тенденция очевидна.

Для служб безопасности приоритет ясен: необходимо немедленно установить внеочередные патчи для Defender, внедрить меры защиты от YellowKey (удалить значение autofstx.exe в реестре BootExecute и включить TPM+PIN для BitLocker) и расценивать MiniPlasma как живую угрозу, у которой нет официального способа устранения. Также следует отслеживать новые публикации PoC-кода, приуроченные к будущим «вторникам патчей», и подготовить компенсирующие меры контроля для компонентов Defender, которые теперь систематически становятся мишенью.

История Nightmare-Eclipse — это не просто история о шести уязвимостях. Это стресс-тест для взаимоотношений между вендорами платформ и исследователями. Когда эти отношения рушатся, последствия становятся публичными, пригодными для атак и крайне серьезными.