Nightmare Eclipse ujawnia tożsamość i spór
Za pseudonimem Nightmare Eclipse stoi Abdelhamid Naceri. Spór z Microsoftem przerodził się w lawinę publicznych 0-dayów i proces w Niemczech.
Za pseudonimem stał były pracownik Microsoftu
Przez wiele miesięcy w świecie bezpieczeństwa krążyły publikacje podpisywane pseudonimem Nightmare Eclipse. Autor udostępniał kolejne exploit-y i proof of concept dla luk w produktach Microsoftu, najczęściej krótko po Patch Tuesday. Teraz ujawniono, że za tym aliasem stoi Abdelhamid Naceri, były badacz z zespołu MSRC.
Naceri miał pracować przy podatnościach i mechanizmach ograniczających ich skutki, a wcześniej był już kojarzony w branży pod innymi nickami, m.in. halov. Jego nazwisko pojawiało się w kontekście wcześniejszych znalezisk w Windows i innych produktach Microsoftu.
Jak zaczęła się eskalacja
Według ujawnionego dziś opisu konfliktu przełomem był kwiecień 2026 r., gdy opublikowano BlueHammer — zero-day dotyczący Microsoft Defender, wraz z kodem exploit-u. Potem pojawiły się kolejne nazwy: RedSun, UnDefend, YellowKey, GreenPlasma, MiniPlasma, RoguePlanet, LegacyHive, ShieldBreak i wreszcie ShieldCrash.
Część z tych luk trafiła do katalogu KEV prowadzonego przez CISA, co oznacza, że są to podatności potwierdzone jako aktywnie wykorzystywane lub szczególnie istotne operacyjnie.
Spór o zwolnienie i brak konkretów
Naceri twierdzi, że w wrześniu 2024 r. został nagle wezwany na spotkanie, w którym uczestniczyła także osoba z działu HR. Miał usłyszeć, że Microsoft kończy z nim współpracę z powodu rzekomego narażenia klientów firmy na ryzyko. Problem w tym, że — jak opisuje — nie dostał żadnych konkretnych informacji: ani daty, ani nazwiska osoby trzeciej, której miał rzekomo przekazać informacje o luce.
Później otrzymał wiadomość od Toma Gallaghera, wiceprezesa inżynierii w MSRC, w której firma miała pisać o potencjalnym incydencie bezpieczeństwa i utracie zaufania. W rozmowach pojawił się też wątek zakazu powrotu do firmy oraz groźba wystawienia negatywnej rekomendacji.
Negocjacje, które nie zakończyły sporu
Z relacji Naceriego wynika, że początkowo zaoferowano mu 20 tys. euro, później 27 tys. euro, a ostatecznie propozycja miała wzrosnąć do 55 tys. euro, do tego roczne wynagrodzenie i wsparcie firmy outplacementowej. Oferty nie przyjął.
Microsoft miał później formalnie zwolnić go pismem datowanym na 3 marca 2025 r.. Sprawa trafiła do sądu pracy w Kolonii, gdzie Naceri podważał zasadność wypowiedzenia. W toku postępowania pojawił się również spór o jego prawo do pracy w Niemczech, ale sąd miał ostatecznie potwierdzić, że dokumenty pobytowe wiązały go z Microsoftem.
Proces kosztował fortunę
Sam Naceri twierdzi, że walka sądowa kosztowała go ponad 200 tys. dolarów. W jego ocenie największym problemem było to, że Microsoft miał odmawiać podania szczegółów dotyczących rzekomej luki i przyczyny zwolnienia. Podkreśla też, że nie chodziło o bug bounty, lecz o sposób zakończenia współpracy.
Według jego relacji celem było pozostanie w Niemczech i uzyskanie stabilizacji zawodowej, czego — jak uważa — firma mogła mu łatwo nie utrudniać.
Techniczna strona konfliktu
Cała historia zyskała rozgłos także dlatego, że publikowane przez Nightmare Eclipse materiały nie były zwykłymi opisami błędów. W przypadku RoguePlanet i późniejszego ShieldBreak chodziło o podatności w Microsoft Defender, które miały omijać wcześniejsze poprawki. Nowszy exploit ShieldCrash miał działać nawet po wrześniowym patchu z 2026 r. i pozwalać na eskalację uprawnień oraz usuwanie wpisów z bazy SAM.
W praktyce oznacza to, że Microsoft nie tylko musiał łatać samą podatność, ale również mierzyć się z publicznie dostępnych PoC, które pokazywały, jak obejść poprawki już po ich wydaniu.
Co wiemy, a czego nie
Na ten moment historia ma tylko jedną oficjalnie opisaną wersję — przedstawioną przez samego Naceriego. Microsoft nie odniósł się publicznie do nowych deklaracji, a część szczegółów sporu nadal pozostaje niejasna.
Jedno jest pewne: przypadek Nightmare Eclipse stał się jednym z najbardziej głośnych przykładów otwartego konfliktu między badaczem bezpieczeństwa a wielką firmą technologiczną. I jednocześnie przypomnieniem, że nawet duże organizacje miewają problemy z pełnym i skutecznym łapaniem własnych błędów.
