“Nightmare Eclipse” aveva scoperto e reso note diverse vulnerabilità zero-day dei prodotti Microsoft.

Microsoft è di nuovo al centro di una possibile “controversia di cybersicurezza” dopo aver minacciato possibili azioni legali nei confronti di un noto analista, conosciuto come “Nightmare Eclipse“.

La sua “colpa” sarebbe quella di aver pubblicato una serie di vulnerabilità dei prodotti della Microsoft senza aver seguito le procedure ordinarie di segnalazione.

La vicenda ha riaperto un dibattito che da anni divide il settore. Vale a dire fino a qual punto e con quali modi, nel momento in cui gli esperti scoprono delle falle, questi possono pubblicarle.

Le accuse di Microsoft

Mercoledì scorso Microsoft ha pubblicato un comunicato ufficiale in cui ha criticato apertamente lo stesso “Nightmare Eclipse“. Secondo l’azienda, quest’ultimo avrebbe divulgato una serie di vulnerabilità – BlueHammer, RedSun, UnDefend e YellowKey – “senza prima seguire il tradizionale processo di segnalazione responsabile“.

Le falle interessavano prodotti particolarmente sensibili dell’ecosistema aziendale. Tra questi Defender, l’antivirus integrato in Windows, e BitLocker, il sistema di crittografia dei dischi utilizzato per proteggere dati e dispositivi.

Per Microsoft, il problema principale è che l’informatico non avrebbe fornito all’azienda il tempo necessario per sviluppare e distribuire le correzioni prima della pubblicazione dei dettagli tecnici. Una divulgazione di questo tipo, sottolinea TechCrunch, “potrebbe aver favorito anche cybercriminali e gruppi ostili“.

L’azienda sostiene infatti che alcune delle vulnerabilità rese pubbliche siano state successivamente sfruttate in attacchi reali. La stessa CISA, l’agenzia statunitense per la sicurezza informatica, ha condiviso una valutazione simile.

La minaccia di azioni legali

Nel comunicato, Microsoft ha lasciato intendere la possibilità di procedere legalmente contro i responsabili della divulgazione.”La nostra Digital Crimes Unit continuerà ad avviare azioni contro questi soggetti e contro chi facilita attività criminali, coordinandosi quando necessario con le forze dell’ordine di tutto il mondo“. Questo l’appello della multinazionale statunitense

Nelle ultime settimane “Nightmare Eclipse” aveva pubblicato diversi articoli sostenendo di aver tentato di interagire con Microsoft attraverso i canali ufficiali. Al contrario, tuttavia, secondo lui l’azienda avrebbe gestito in modo scorretto la situazione, arrivando persino a revocargli l’accesso al Microsoft Security Response Center (MSRC).

Account sospesi su GitHub e GitLab

Le vulnerabilità e il codice dimostrativo per il loro sfruttamento erano stati pubblicati su GitHub e GitLab. Si tratta di due delle principali piattaforme utilizzate dagli sviluppatori per condividere software e progetti open source.

Successivamente, i profili riconducibili a “Nightmare Eclipse” hanno ricevuto una sospensione su entrambe le piattaforme. La decisione assume un significato particolare nel caso di GitHub, che appartiene alla stessa Microsoft. In attesa di ulteriori azioni, si rinnova il confronto sui temi della cybersicurezza e su quanto la divulgazione possa rappresentare un rischio industriale per le stesse aziende.

Vai al sito di Cybersecurity Italia.

L'articolo Cybersicurezza, Microsoft minaccia azioni legali contro l’analista “Nightmare Eclipse” sembra essere il primo su CyberSecurity Italia.