| 7 апреля | BlueHammer выпущен в открытый доступ с полным демонстрационным кодом (PoC) |
| ~10 апреля | Зафиксирована активная эксплуатация BlueHammer с инфраструктуры, привязанной к России, по данным Barracuda и Huntress |
| 14 апреля | «Вторник патчей» от Microsoft: исправление для BlueHammer под номером CVE-2026-33825 (CVSS 7.8) |
| ~17 апреля | CISA добавляет CVE-2026-41091 (RedSun) и CVE-2026-45498 (UnDefend) в каталог известных эксплуатируемых уязвимостей (KEV), предписывая госорганам США устранить их до 3 июня |
| 12 мая | Через день после «вторника патчей» за май выпущены YellowKey (обход BitLocker через среду восстановления WinRE) и GreenPlasma (повышение привилегий в CTFMON до SYSTEM) |
| 17 мая | Выпущен MiniPlasma — позволяет получить права SYSTEM на полностью обновленной Windows 11 |
| 19 мая | ThreatLocker подтверждает, что MiniPlasma работает на системах со всеми последними обновлениями |
| 21 мая | Microsoft выпускает внеочередные обновления для устранения RedSun и UnDefend |
| ~23 мая | GitHub удаляет аккаунт Nightmare-Eclipse |
| ~26–27 мая | GitLab также блокирует связанные с исследователем аккаунты |
| 14 июля (угроза) | Исследователь предупреждает о новой массовой публикации эксплойтов |
К концу мая 2026 года три из шести уязвимостей были исправлены. Три оставались нерешенными, при этом MiniPlasma представлял наиболее серьезную оперативную угрозу.
MiniPlasma особенно опасен, потому что позволяет обычному пользователю получить максимальные привилегии SYSTEM на системе со всеми свежими обновлениями . Он использует тот же драйвер облачных файлов
cldflt.sys, что и BlueHammer, повторно активируя уязвимость 2020 года, которая, по мнению исследователя, так и не была полностью исправлена Microsoft .
Исследователь недвусмысленно назвал публикацию эксплойтов актом возмездия за плохое обращение со стороны MSRC. Согласно публичным заявлениям, его предыдущие закрытые отчеты отклонялись, рассматривались медленно или сопровождались требованиями, которые исследователь счел чрезмерными — сообщается, что от него потребовали предоставить видеодемонстрацию работы эксплойта .
В заявлениях исследователя повторяется утверждение: «Мне лично сказали, что они разрушат мою жизнь, и они это сделали» ("I was told personally by them that they will ruin my life and they did") . Время публикации последних эксплойтов — на следующий день после «вторника патчей» — было намеренным, чтобы максимизировать эффект и давление. YellowKey и GreenPlasma были выпущены 12 мая сразу после майского цикла обновлений, а MiniPlasma — 17 мая
.
27 мая Microsoft опубликовала в корпоративном блоге статью под заголовком «Общая ответственность: защита клиентов через скоординированное раскрытие уязвимостей» («A shared responsibility: Protecting customers through coordinated vulnerability disclosure») . В посте:
Хотя риторика Microsoft обострила конфликт, она не решила главную проблему: три уязвимости остались без исправлений. Платформы, на которых был размещен код, — GitHub (около 23 мая) и GitLab (несколькими днями позже) — предприняли меры, удалив аккаунты исследователя .
К середине апреля все три изначальных эксплойта для Defender активно использовались злоумышленниками. Компании Huntress и Barracuda обнаружили, что хакеры используют PoC-код прямо из публичных репозиториев GitHub, а их инфраструктура привязана к российским IP-адресам .
CISA отреагировало оперативно. BlueHammer был добавлен в каталог KEV 22 апреля с требованием к федеральным агентствам установить патч до 6 мая . Позже в каталог были добавлены RedSun и UnDefend с дедлайном 3 июня
. Такая скорость реакции отражает глубокую озабоченность: когда сами инструменты безопасности становятся вектором атаки, традиционные модели защиты перестают работать.
Реакция сообщества кибербезопасности разделилась.
Критика в адрес исследователя прозвучала от Barracuda, ThreatLocker и LevelBlue. Компании охарактеризовали кампанию как опасную и контрпродуктивную — публикация рабочих эксплойтов без патча ставит под немедленный удар корпоративных пользователей .
Критика в адрес Microsoft была не менее острой. Многие отметили, что всей этой истории можно было бы избежать при более уважительном и оперативном реагировании MSRC. Инцидент возродил давние претензии: медленная сортировка отчетов, непрозрачная коммуникация и враждебное отношение к исследователям, не вписывающимся в рамки корпоративных программ Bug Bounty .
Особенно показательный момент: Microsoft угрожала юридическими мерами, в то время как три эксплойта оставались без патча — шаг, который многие комментаторы назвали показным и несвоевременным .
Исследователь замолчал, но не исчез. Потеряв доступ к платформам, он перешел на личный блог и прямо пригрозил новой массовой публикацией 14 июля — в день следующего «вторника патчей» . Насколько реальна эта угроза, пока неизвестно, но тенденция очевидна.
Для служб безопасности приоритет ясен: необходимо немедленно установить внеочередные патчи для Defender, внедрить меры защиты от YellowKey (удалить значение autofstx.exe в реестре BootExecute и включить TPM+PIN для BitLocker) и расценивать MiniPlasma как живую угрозу, у которой нет официального способа устранения. Также следует отслеживать новые публикации PoC-кода, приуроченные к будущим «вторникам патчей», и подготовить компенсирующие меры контроля для компонентов Defender, которые теперь систематически становятся мишенью.
История Nightmare-Eclipse — это не просто история о шести уязвимостях. Это стресс-тест для взаимоотношений между вендорами платформ и исследователями. Когда эти отношения рушатся, последствия становятся публичными, пригодными для атак и крайне серьезными.
Comments
0 comments