ความขัดแย้งระหว่าง Microsoft กับนักวิจัยด้านความปลอดภัยไซเบอร์ชื่อ Chaotic Eclipse กำลังลุกลามหนักขึ้น หลังเจ้าตัวออกมากล่าวหาว่า Microsoft ไม่เพียงปฏิเสธจ่ายเงินรางวัลจากการรายงานช่องโหว่ แต่ยังสั่งแบนบัญชี GitHub ของเขาอีกด้วย
Chaotic Eclipse ประกาศเตรียมตอบโต้ ด้วยการเปิดเผยช่องโหว่ Zero-day ร้ายแรงของ Windows เพิ่มเติมต่อสาธารณะทั่วโลกในวันที่ 14 กรกฎาคมนี้ พร้อมข้อความเชิงท้าทายว่า “ถ้าคุณเล่นแรง ผมก็จะเล่นกลับ”
ต้นตอของปัญหาเริ่มตั้งแต่เดือนเมษายนที่ผ่านมา เมื่อ Chaotic Eclipse รายงานช่องโหว่ Windows ชื่อ BlueHammer และ RedSun ให้กับ Microsoft ตามหลัก Responsible Disclosure ซึ่งเป็นแนวทางมาตรฐานของวงการความปลอดภัยไซเบอร์ ที่ให้นักวิจัยแจ้งบริษัทก่อนเปิดเผยสู่สาธารณะเพื่อให้มีเวลาปิดช่องโหว่
ตามโครงการ Microsoft Security Response Center (MSRC) นั้น ช่องโหว่ระดับร้ายแรงของ Windows สามารถรับเงินรางวัลได้สูงสุดราว 30,000–100,000 ดอลลาร์สหรัฐ และอาจสูงถึง 250,000 ดอลลาร์ หากเกี่ยวข้องกับ Hyper-V
อย่างไรก็ตาม Chaotic Eclipse อ้างว่า Microsoft ปฏิเสธรายงานช่องโหว่ทั้งหมด ไม่จ่ายเงินรางวัล และยังลบบัญชี MSRC ของเขา แต่กลับแอบแก้ไขช่องโหว่ดังกล่าวแบบเงียบ ๆ โดยที่เขาไม่ได้รับค่าตอบแทนแม้แต่บาทเดียว
ก่อนหน้านี้เจ้าตัวยังเคยเปิดเผยช่องโหว่ชื่อ YellowKey ซึ่งสามารถใช้ USB Bypass ระบบเข้ารหัส BitLocker ได้โดยตรง ส่งผลให้ Microsoft ไม่พอใจอย่างหนัก จนถึงขั้นสั่งแบน GitHub และมีการกล่าวอ้างว่าถูกข่มขู่เรื่องชีวิตส่วนตัว
ปัจจุบัน Chaotic Eclipse เปิดเผยช่องโหว่ Windows แล้วอย่างน้อย 6 รายการ บางส่วนมี PoC หรือโค้ดตัวอย่างสำหรับโจมตีจริง ได้แก่
• BlueHammer / RedSun : ยกระดับสิทธิ์ผ่าน Windows Defender จนได้สิทธิ์ SYSTEM
• UnDefend : ปิดการทำงานของ Windows Defender ได้โดยตรง
• GreenPlasma : ยกระดับสิทธิ์ผ่านบริการ CTFMon
• MiniPlasma : ใช้ช่องโหว่ Cloud Filter Driver เพื่อยกระดับสิทธิ์
• YellowKey : Bypass ระบบ BitLocker ได้แทบทั้งหมด
ด้าน William Dormann ผู้เชี่ยวชาญด้านความปลอดภัยชื่อดัง วิจารณ์ว่า MSRC ในอดีตเคยมีประสิทธิภาพสูง แต่ปัจจุบัน Microsoft ลดต้นทุนด้วยการปลดบุคลากรสายเทคนิคจำนวนมาก เหลือแต่ระบบราชการที่เน้นขั้นตอนมากกว่าความร่วมมือกับนักวิจัย ซึ่งอาจเป็นสาเหตุสำคัญที่ทำให้ความสัมพันธ์ระหว่างทั้งสองฝ่ายพังลงอย่างสิ้นเชิง
ที่มา: HKEPC
