Nightmare-Eclipse : six failles zero day, six semaines et une grosse rancune

Zoom sur la campagne individuelle de démantèlement systématique de la pile de sécurité de Microsoft

Ce qu’il faut retenir

• Nightmare-Eclipse (Chaotic Eclipse) est un acteur malveillant motivé par une rancune personnelle à l’encontre de Microsoft.
• Les exploits publiés par cet acteur malveillant ont été observés dans une activité de menace liée à une infrastructure géolocalisée en Russie.
• Les défenseurs devraient privilégier l’application des correctifs CVE-2026-33825, au renforcement de BitLocker et à la superposition de contrôles de détection réseau et d’identité, qui fonctionnent indépendamment de l’endpoint compromis.

Les acteurs malveillants ne sont pas tous des groupes de ransomware ou des menaces parrainées par un État. Aujourd’hui, nous examinons une personne ayant une connaissance approfondie des composants internes de Windows et une rancune tout aussi profonde envers Microsoft.  

Nightmare-Eclipse (Dead Eclipse, Chaotic Eclipse, Eclipse) est un acteur malveillant qui a publié six exploits zero-day Windows depuis début avril 2026 dans ce que plusieurs chercheurs décrivent comme une campagne de représailles croissante contre Microsoft. Eclipse ne rentre pas facilement dans les catégories traditionnelles du renseignement sur les menaces, il ne semble pas chercher à tirer profit, à faire avancer une cause sociale ou à poursuivre des objectifs géopolitiques. Il semble qu’il s’agisse d’un seul chercheur en sécurité animé par la vengeance personnelle, qui a délibérément déclenché des exploits dangereux que d’autres utilisent maintenant dans des attaques réelles. Les équipes de défense et les chercheurs doivent prendre Nightmare-Eclipse aussi au sérieux que n’importe quel autre acteur malveillant, même s’il opère seul et en dehors de l’écosystème habituel.

Voici un aperçu rapide de Nightmare-Eclipse :

Les exploits publiés par Eclipse ont déjà été utilisés dans des intrusions réelles, ajoutés au catalogue des vulnérabilités exploitées connues de l’Agence de cybersécurité et de sécurité des infrastructures (CISA), et ont forcé un cycle de correctifs d’urgence, mais il ne s’arrête pas là. Dans de précédentes informations, la chercheuse avait promis d’autres choses à venir, notamment des vulnérabilités liées à l’exécution de code à distance, et avait affirmé avoir déployé un « interrupteur mort » qui lancerait automatiquement de nouveaux exploits. La version la plus récente, MiniPlasma, est arrivée sans nouvelles menaces et sans rhétorique, juste du code d’exploitation fonctionnel. Il est difficile de dire si cette retenue a un sens.

Pourquoi ce nom ?

Cet acteur malveillant utilise le nom « Nightmare-Eclipse » comme identifiant GitHub. Les deux titres « Chaotic Eclipse » et « Dead Eclipse » sont associés à son blog. Chaotic Eclipse apparaît dans le nom du blog, et Dead Eclipse figure dans l’URL et est répertorié dans la section « À propos ».

Voici le profil GitHub :

Il est difficile de dire si le motif « éclipse » a une signification. Il pourrait s’agir d’une métaphore de l’éclipse/du dépassement de la sécurité de Microsoft ou de l’assombrissement du nom de Microsoft. L’URL du blog inclut « 666 » et « deadeclipse », et le nom inclut « chaotic ». Nous n’avons pas besoin de creuser profondément pour trouver un sens à cela.

Quant aux exploits, les cinq premiers sont nommés avec une couleur + un nom :

• BlueHammer — Le bleu est la couleur emblématique de Microsoft, et un marteau est un outil contondant. Il s’agit ici de critiquer violemment le produit de la marque Microsoft.
• RedSun — Le rouge signale un danger. Cette faille met en lumière les problèmes de Microsoft Defender via un chemin de code différent de celui utilisé par BlueHammer.
• UnDefend - un mot-valise qui se moque directement de Windows Defender : un-Defend, comme dans rendre Defender incapable de défendre.
• YellowKey - Le jaune signale la prudence, et la clé fait référence au déverrouillage des lecteurs protégés par BitLocker.
• GreenPlasma - Les signaux verts passent ou s’exécutent. Le plasma suggère une puissance énergisée, permettant d’obtenir des privilèges élevés.

MiniPlasma est la version la plus récente, et le premier nom à rompre avec le modèle couleur + nom. « Mini » fait référence soit au pilote de filtre Mini de Cloud Files qu’il vise, soit au fait qu’il s’agit d’un compagnon plus petit de GreenPlasma. Dans tous les cas, le lien « Plasma » l’associe au thème plus large d’élévation de privilèges.

La convention de dénomination semble être conçue pour être mémorisable et pour susciter un sentiment anti-Microsoft.

Identité de l’acteur : inconnue, peut-être un initié

L’identité réelle de Nightmare-Eclipse reste inconnue, mais il semble qu’il s’agisse d’un chercheur en sécurité qui pourrait être un ancien employé de Microsoft. Cette rumeur n’a pas été vérifiée, mais l’étendue des connaissances démontrées par Eclipse suggère une connaissance approfondie de la base de code et de l’architecture de Microsoft. Le blog Chaotic Eclipse semble le confirmer :

Je n’ai jamais voulu rouvrir un blog et un nouveau compte GitHub pour déposer du code…

Mais quelqu’un a violé notre accord et m’a laissée sans abri, sans rien. Ils savaient que cela allait arriver et ils m’ont poignardé dans le dos quand même, c’est leur décision pas la mienne.

À partir de là, les messages, les promesses et les menaces se multiplient.

Ils affirment également que le personnel du Centre de réponse de sécurité de Microsoft (MSRC) les a directement menacés :

« Ils m’ont personnellement dit qu’ils allaient ruiner ma vie, et ils l’ont fait. »

Que cette personne soit un ancien employé, un ancien contractuel ou un chercheur externe avec un historique professionnel lié à Microsoft reste une question ouverte. Ce qui n’est pas remis en question, c’est que Nightmare-Eclipse a démontré une capacité soutenue à identifier et à exploiter des vulnérabilités zero-day dans les composants principaux de Windows, et qu’ils ont choisi d’arme cette capacité dans une campagne délibérée. Il s’agit là des actions d’un acteur malveillant et non d’un dénonciateur, d’un défenseur de la divulgation responsable ou d’un chercheur neutre.

Les six zero-days

Au moment de la rédaction de ce document, Nightmare-Eclipse a publié six outils d’exploitation :

BlueHammer—CVE-2026-33825 | CORRIGÉ

Une faille d’élévation de privilèges dans Windows Defender qui permet à un pirate disposant déjà d’un accès utilisateur normal d’obtenir des privilèges de niveau SYSTÈME. Concrètement, un accès limité à une machine Windows peut se transformer en une compromission beaucoup plus profonde, permettant d’accéder à des identifiants locaux sensibles et d’effectuer des actions bien au-delà d’un compte d’utilisateur standard.

Le crédit CVE a été attribué aux chercheurs Zen Dodd et Yuanpei Xu, et non à Nightmare-Eclipse. Cela indique soit une découverte indépendante, soit une décision délibérée de Microsoft de ne pas créditer la divulgation non coordonnée.

RedSun—Aucune CVE

Une autre vulnérabilité d’élévation de privilèges dans Windows Defender permet à un utilisateur standard d’obtenir des droits d’exécution au niveau du système. RedSun diffère de BlueHammer dans la manière dont il y parvient, mais le résultat est le même : Windows peut être amené à exécuter du code contrôlé par un attaquant avec les privilèges les plus élevés. Il en résulte qu’une petite intrusion peut rapidement entraîner le contrôle total de l’appareil concerné.

UnDefend—Aucun CVE

Un outil de disruption de Defender conçu pour affaiblir ou aveugler Microsoft Defender au lieu de donner directement le contrôle au pirate. L’analyse publique montre qu’il interfère avec la capacité de Defender à recevoir des mises à jour et à détecter de nouvelles menaces tout en faisant apparaître le système en bon état. Il est mieux compris comme un outil de défense et d’évasion : une fois qu’un pirate dispose d’un accès élevé, UnDefend peut rendre les activités de suivi encore plus difficiles à détecter.

YellowKey — Pas de CVE

Un contournement BitLocker qui peut permettre à une personne ayant un accès physique à un système Windows d’accéder aux données sur des disques protégés par des configurations BitLocker TPM système uniquement. Concrètement, un ordinateur portable volé utilisant les paramètres par défaut de BitLocker peut présenter un risque plus élevé, car le pirate pourrait atteindre un disque déverrouillé grâce à un comportement de restauration. Cela compromet une protection essentielle en cas de perte d’appareils, même si des protections supplémentaires, telles que des codes PIN avant le démarrage, des contrôles du firmware et des pratiques strictes en matière de conservation des appareils, peuvent réduire les risques.

GreenPlasma — Pas de CVE

Cette vulnérabilité d’élévation de privilèges locaux (LPE) sous Windows met en évidence un exploit partiel ou incomplet plutôt qu’une méthode d’attaque clé en main. Le code publié fournit un élément de base qu’un pirate compétent pourrait développer davantage pour obtenir de meilleurs privilèges. Son importance réside dans le fait qu’il étend les révélations de Nightmare-Eclipse au-delà des faiblesses spécifiques à Defender, en s’intéressant à des aspects internes plus larges de Windows.

MiniPlasma – Sans CVE

Une élévation de privilèges locale de Windows récemment divulguée, liée à une faille signalée à l’origine et supposée corrigée en 2020. Des tests indépendants ont confirmé que la démonstration de faisabilité pouvait encore produire un accès au niveau SYSTÈME sur des systèmes Windows 11 entièrement corrigés à partir de mai 2026. Ce fait est important, car il suggère qu’une vulnérabilité que l’on pensait résolue il y a plusieurs années peut encore être exploitée dans les versions actuelles de Windows.

La chaîne d’attaque : comment elles fonctionnent ensemble

De nombreux chercheurs ont observé ces exploits dans la nature depuis avril. Avec chaque nouvel exploit divulgué par Nightmare-Eclipse, une chaîne d’attaque opérationnelle a émergé :

1. Escalade : BlueHammer, RedSun ou MiniPlasma sont trois méthodes différentes pour élever les privilèges d’un utilisateur non privilégié à SYSTEM.
2. Aveugle : UnDefend fait en sorte que l’endpoint semble sain pour Defender, tout en rendant Defender moins capable de détecter quoi que ce soit de nouveau.
3. Accès (physique) : YellowKey contourne BitLocker sur les appareils volés ou confisqués.
4. Persistance (futur) : GreenPlasma, une fois militarisé, fournit une voie d’escalade du système de sauvegarde via un sous-système différent.

SecurityToday a indiqué que des pirates enchaînaient ces exploits de Microsoft Defender dans le but de déployer un ransomware. Les acteurs de menaces avancées intègrent régulièrement du code d’escalade de privilèges locaux (LPE) dans les jours suivant la publication.  BlueHammer et RedSun sont bien au-delà de cela, et la fenêtre MiniPlasma se ferme bientôt.

C’est ce qui fait de Nightmare-Eclipse un acteur malveillant à part entière, et non un simple chercheur frustré qui règle ses comptes. En publiant délibérément du code d’exploitation pour des vulnérabilités non corrigées, il a effectivement externalisé les intrusions réelles vers l’écosystème criminel plus large.

En termes de renseignement sur les menaces, Nightmare-Eclipse appartient à la même catégorie que tout autre acteur qui fournit sciemment des outils, un accès ou des capacités que d’autres utilisent pour attaquer des organisations. La distinction par rapport à un groupe de menace traditionnel est importante pour la classification, mais elle ne change pas le risque opérationnel : Nightmare-Eclipse a directement permis l’escalade de privilèges, l’évasion de la défense et le vol d’identifiants dans des intrusions d’entreprise confirmées.

Défendez-vous

Le chercheur n’a pas terminé. Leurs articles de blog et sur GitHub contiennent des avertissements explicites :

• Une menace de commencer à publier des vulnérabilités d’exécution de code à distance (RCE) : « ils m’incitent activement à commencer à publier des RCE, ce que je ferai à un moment donné »
• La promesse d’une « grosse surprise » pour le Patch Tuesday de juin 2026
• Une affirmation selon laquelle ils « entraîneront d’autres entreprises dans cette affaire »
• Un système de « Dead Man’s Switch » conçu pour divulguer automatiquement d’autres codes d’exploitation si certaines conditions de déclenchement sont validées

Rien ne laisse penser qu’ils ne mettront pas ces menaces à exécution. Dans une déclaration du 15 mai, Microsoft a déclaré être « au courant des vulnérabilités présumées et examine activement la validité et l’applicabilité potentielle de ces allégations sur nos plateformes et services. »

Que faire ? Appliquez la mise à jour Patch Tuesday d’avril 2026 pour BlueHammer (CVE-2026-33825). Vérifiez que vous utilisez la version 4.18.26050.3011 ou ultérieure de Defender. Surveillez les avis des fournisseurs concernant les correctifs hors bande relatifs à UnDefend, YellowKey et GreenPlasma. Explorez les techniques d’atténuation de YellowKey, comme la création d’un code PIN de démarrage BitLocker et d’un mot de passe BIOS/UEFI. Malheureusement, il ne s’agit pas d’une solution permanente à cet exploit. Cela renforce la sécurité de l’appareil, mais le problème peut toujours être exploité.

Pour se défendre contre ces exploits, il faut assurer la sécurité en dehors de l’endpoint. La détection des réseaux, les contrôles d’identité, la détection comportementale et les capacités de réponse peuvent fonctionner indépendamment du système compromis. Barracuda peut aider les fournisseurs de services gérés (MSP) et les équipes de sécurité à détecter, contenir et répondre à l’activité après la compromission, avant qu’un seul endpoint exploité ne devienne une violation à grande échelle. Pour en savoir plus, consultez www.Barracuda.com.