В конце мая Microsoft пригрозила возможным уголовным преследованием исследователю безопасности, известному как Chaotic Eclipse (или также Nightmare Eclipse), после раскрытия им многочисленных эксплойтов нулевого дня. За это корпорация теперь получила на хакерской конференции Defcon награду Pwnie Award в категории «Худший ответ вендора» (Lamest Vendor Response). Однако забирать её никто не пришёл.
Запись церемонии награждения можно посмотреть на Youtube (откроется в новом окне). «Это позорная награда. Если вы её выиграли, не забывайте испытывать этот стыд», — подчеркнула одна из ведущих.
Второй ведущий позже отметил, насколько образцово президент кибербезопасной компании Crowdstrike два года назад принял свою награду Pwnie Award. Тогда она была присуждена за сбой с обновлением, из-за которого летом 2024 года Crowdstrike парализовала работу миллионов компьютеров по всему миру.
Сотрудники Microsoft не решились
В Microsoft, похоже, никто не осмелился принять Pwnie Award. «Мы обращались к сотрудникам Microsoft, но все они слишком боялись, потому что думали, что потеряют работу, если сделают это», — рассказал ведущий. «Я не говорю, что это значит, но, возможно, это повод задуматься, если какие-то сотрудники Microsoft всё же захотят принести себя в жертву».
Причиной присуждения награды стала реакция Microsoft на многочисленные утечки от Chaotic Eclipse. Начиная с апреля исследователь публиковал несколько эксплойтов нулевого дня для Windows, включая Bluehammer, Redsun, Undefend, Yellowkey, Greenplasma и Miniplasma. С их помощью можно было использовать различные уязвимости в компонентах Windows, таких как Microsoft Defender и Bitlocker.
В качестве причины Chaotic Eclipse неоднократно называл разногласия с Microsoft Security Response Center (MSRC), которые исследователь, предположительно из-за соглашения о неразглашении, никогда не раскрывал в деталях. В конце мая Microsoft в конечном итоге пригрозила, что корпорация «при необходимости будет сотрудничать с правоохранительными органами по всему миру» для возбуждения дел против тех лиц, которые способствуют криминальной деятельности, используя незапатченные уязвимости.