Chercheur 'Nightmare-Eclipse' publie plusieurs 0-days Microsoft en représailles contre MSRC

🔍 Contexte

Source : blog personnel « Chaotic Eclipse » (deadeclipse666.blogspot.com), publications entre le 2 avril et le 13 mai 2026. L’auteur, opérant sous le pseudonyme Nightmare-Eclipse, publie une série de divulgations publiques de vulnérabilités ciblant Microsoft Windows, en réponse à ce qu’il décrit comme un traitement abusif de sa part par le Microsoft Security Response Center (MSRC).

📋 Chronologie des divulgations

• 2 avril 2026 : Publication de BlueHammer (GitHub : Nightmare-Eclipse/BlueHammer) — première divulgation publique, sans explication technique.
• 12 avril 2026 : Publication de UnDefend (GitHub : Nightmare-Eclipse/UnDefend) — outil qualifié de « DOS tool » et de 0-day, permettant à tout utilisateur d’exécuter du code avec privilèges administrateur en contournant Windows Defender. L’auteur précise que combiné à BlueHammer, la machine est entièrement compromise.
• 15 avril 2026 : Publication de RedSun (GitHub : Nightmare-Eclipse/RedSun) en réponse au patch de CVE-2026-33825. L’auteur mentionne que MSRC avait été informé mais avait ignoré le signalement.
• 12 mai 2026 : Publication simultanée de YellowKey (GitHub : Nightmare-Eclipse/YellowKey) et GreenPlasma (GitHub : Nightmare-Eclipse/GreenPlasma). L’auteur annonce vouloir impliquer d’autres entreprises.
• 13 mai 2026 : L’auteur signale que Microsoft a silencieusement patché RedSun sans CVE ni advisory, malgré une exploitation active. Il confirme que YellowKey fonctionne même dans un environnement TPM+PIN et refuse de publier le PoC complet.

⚠️ Éléments notables

• L’auteur affirme disposer d’un dead man switch sophistiqué, hébergé hors de son domicile, contenant des divulgations massives supplémentaires.
• Il mentionne explicitement Tom Gallagher (MSRC leadership) dans ses remerciements sarcastiques.
• Les messages sont signés cryptographiquement via PGP (Ed25519), la clé publique est publiée sur le blog.
• L’auteur annonce des divulgations de RCE à venir et une « surprise » pour le prochain Patch Tuesday.
• YellowKey est décrit comme une backdoor dont la cause racine reste inconnue du public et potentiellement de MSRC.

🎯 Nature de l’article

Il s’agit d’une série de divulgations publiques offensives (full disclosure) motivées par un conflit personnel avec Microsoft/MSRC, accompagnées de menaces crédibles de divulgations futures. Le but principal est d’exercer une pression publique sur Microsoft en exposant des vulnérabilités non corrigées.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Nightmare-Eclipse (unknown) —

TTP

• T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
• T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
• T1587.004 — Develop Capabilities: Exploits (Resource Development)

IOC

• URLs : https://github.com/Nightmare-Eclipse/YellowKey — URLhaus
• URLs : https://github.com/Nightmare-Eclipse/GreenPlasma — URLhaus
• URLs : https://github.com/Nightmare-Eclipse/RedSun — URLhaus
• URLs : https://github.com/Nightmare-Eclipse/UnDefend — URLhaus
• URLs : https://github.com/Nightmare-Eclipse/BlueHammer — URLhaus
• CVEs : CVE-2026-33825 — NVD · CIRCL

Malware / Outils

• BlueHammer (tool)
• UnDefend (tool)
• RedSun (tool)
• YellowKey (backdoor)
• GreenPlasma (tool)

🟡 Indice de vérification factuelle : 55/100 (moyenne)

• ⬜ deadeclipse666.blogspot.com — source non référencée (0pts)
• ✅ 9497 chars — texte complet (fulltext extrait) (15pts)
• ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ 0/3 IOCs confirmés externellement (0pts)
• ✅ 3 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Nightmare-Eclipse (5pts)
• ⬜ 0/1 CVE(s) confirmée(s) (0pts)

🔗 Source originale : https://deadeclipse666.blogspot.com/