Caos Microsoft: bug hunter bannato dopo la pubblicazione di sei exploit controversi

Microsoft è al centro di una controversia per una divulgazione pubblica di vulnerabilità. Un ricercatore indipendente ha pubblicato prove di bug non documentati sui prodotti Microsoft, ma l'azienda ha bloccato il suo account e lo ha accusato di violare le norme sulla divulgazione responsabile.

Microsoft si è ritrovata al centro di una controversia relativa alla divulgazione di vulnerabilità. Questa volta, il conflitto non è scoppiato per l’ennesimo bug di Windows, bensì per il modo in cui sembrerebbe che l’azienda e le sue affiliate rispondono ai ricercatori indipendenti che pubblicano prove tecniche di problemi nei suoi prodotti.

GitHub ha bloccato ed eliminato l’account di uno sviluppatore indipendente noto con gli pseudonimi Nightmare-Eclipse e Dead Eclipse. Le restrizioni sono state imposte dopo che aveva pubblicato diversi exploit proof-of-concept per prodotti Microsoft. In seguito al blocco, l’autore ha trasferito i suoi progetti su GitLab.

Complessivamente, Nightmare-Eclipse ha presentato sei demo funzionanti: YellowKey , GreenPlasma , MiniPlasma, BlueHammer, RedSun e UnDefend. Alcuni esperti ritengono che non tutti gli sviluppi sopra riportati possano essere considerati vere e proprie vulnerabilità zero-day. Si stima che alcuni elementi possano aver sfruttato vecchi bug o difetti che Microsoft ha già corretto senza divulgarne pubblicamente i dettagli.

Barracuda ha sottolineato l’alto livello di competenza tecnica dell’autore. Gli analisti della società ritengono che Nightmare-Eclipse possa aver avuto in passato legami con Microsoft, poiché i problemi rilevati richiedono una profonda conoscenza dell’architettura del kernel di Windows. Ulteriore interesse è stato suscitato dalla dichiarazione dell’autore, secondo cui avrebbe condotto l’audit in modo indipendente e senza utilizzare modelli di intelligenza artificiale.

Il conflitto si è intensificato in seguito alle azioni del Microsoft Security Response Center. Secondo quanto riportato da Nightmare-Eclipse, il centro di competenza di Microsoft gli ha bloccato l’accesso alla segnalazione di bug, non ha risposto alle richieste ufficiali e lo ha accusato di aver violato le norme sulla divulgazione responsabile. L’autore ritiene che tali azioni abbiano danneggiato la sua reputazione nella comunità professionale. Afferma inoltre di aver ricevuto minacce da parte di dipendenti del MSRC.

Inizialmente Nightmare-Eclipse aveva promesso di preparare un’importante pubblicazione per l’aggiornamento di giugno di Microsoft, ma poi ha cambiato i suoi piani.

Ora, l’autore parla di un pacchetto di documenti interni e posticipa la pubblicazione principale al 14 luglio 2026. Secondo lui, il materiale raccolto danneggerà seriamente la reputazione di Microsoft.

Non esiste ancora una conferma indipendente di queste affermazioni, quindi l’ulteriore sviluppo del conflitto dipenderà dalle prove che Nightmare-Eclipse deciderà di pubblicare quest’estate.

Va da se che tutti i ricercatori di sicurezza devono rispettare la Coordinated Vulnerability Disclosure (CVD) e quindi la pubblicazione degli exploit in modo responsabile e attendere la patch prima della pubblicazione dei relativi exploit.

E’ anche vero che i vendor devono essere collaborativi verso i ricercatori di sicurezza, in quanto le loro ricerche non fanno altro che aumentare la sicurezza delle loro applicazioni.

Vogliono solo in cambio un minimo di reputazione.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response