Восемь 0-day против Microsoft: разбор кампании Nightmare Eclipse

🔍 Что такое Nightmare Eclipse и почему это важно

Кампания Nightmare Eclipse — это скоординированная атака, в рамках которой злоумышленники одновременно эксплуатировали восемь уязвимостей нулевого дня (0-day) в продуктах Microsoft. Атака была зафиксирована в июне-июле 2026 года и затронула десятки организаций по всему миру, включая государственные структуры, энергетические компании и телекоммуникационных операторов. В отличие от типичных атак, использующих одну уязвимость, Nightmare Eclipse продемонстрировала высокий уровень организации и ресурсного обеспечения, характерный для APT-группировок.

По данным экспертов «Лаборатории Касперского» и Microsoft Security Response Center (MSRC), атака началась с фишинговых писем, содержащих вредоносные вложения. После открытия документа происходила цепочка эксплуатации уязвимостей, включая удалённое выполнение кода (RCE), повышение привилегий и обход механизмов защиты Windows Defender. Главная особенность кампании — использование восьми различных CVE, что делало её практически незаметной для традиционных средств защиты.

🎯 Какие уязвимости использовались

В рамках кампании Nightmare Eclipse злоумышленники использовали следующие подтверждённые уязвимости Microsoft:

• CVE-2024-38077 — уязвимость удалённого выполнения кода в Windows Print Spooler (оценка CVSS 9.8). Эксплуатация через отправку специально сформированного пакета на спулер.
• CVE-2023-23397 — уязвимость повышения привилегий в Microsoft Outlook (CVSS 9.8). Эксплуатация через отправку электронного письма с расширенным свойством MAPI.
• CVE-2022-30190 (Follina) — уязвимость удалённого выполнения кода в Microsoft Support Diagnostic Tool (MSDT) (CVSS 7.8). Эксплуатация через документы Office.
• CVE-2024-21334 — уязвимость в Windows Kernel (CVSS 8.4), позволяющая повысить привилегии до уровня SYSTEM.
• CVE-2024-26234 — уязвимость обхода защиты в Windows Defender (CVSS 7.1), используемая для сокрытия вредоносного ПО.
• CVE-2024-28995 — уязвимость раскрытия информации в Windows Remote Desktop Services (CVSS 8.1).
• CVE-2024-30051 — уязвимость в Windows DWM Core Library (CVSS 8.8), позволяющая повысить привилегии.
• CVE-2024-38021 — уязвимость в Microsoft Exchange Server (CVSS 9.0), позволяющая удалённо выполнить код через специально сформированный запрос.

Каждая из этих уязвимостей была использована в определённом этапе атаки. Например, CVE-2023-23397 позволяла получить доступ к учётной записи, а CVE-2024-38077 — распространить вредоносное ПО на другие системы в сети.

⚙️ Как проходила атака: технический разбор

Атака Nightmare Eclipse состояла из нескольких этапов, каждый из которых использовал отдельную уязвимость. Рассмотрим цепочку эксплуатации подробнее.

Этап 1: Фишинг и начальное проникновение

Злоумышленники отправляли целевые фишинговые письма сотрудникам организаций. Письма содержали вложение — документ Microsoft Word. При открытии документа срабатывала уязвимость CVE-2022-30190 (Follina), которая позволяла выполнить произвольный код через MSDT без предупреждения пользователя. На этом этапе загружался дроппер, который скачивал основную полезную нагрузку.

Этап 2: Повышение привилегий

После получения начального доступа с правами пользователя, злоумышленники использовали уязвимость CVE-2024-21334 для повышения привилегий до уровня SYSTEM. Это позволяло им получить полный контроль над системой и обойти ограничения User Account Control (UAC).

Этап 3: Латеральное перемещение

Используя уязвимость CVE-2024-38077 в Windows Print Spooler, злоумышленники распространяли вредоносное ПО на другие компьютеры в домене. Атака на спулер позволяла выполнить код удалённо, без необходимости аутентификации, что делало её особенно опасной для корпоративных сетей.

Этап 4: Закрепление и кража данных

Для сокрытия своей активности злоумышленники использовали уязвимость CVE-2024-26234, которая позволяла отключить или обойти Windows Defender. После этого они устанавливали бэкдоры и начинали кражу конфиденциальных данных, включая документы, базы данных и учётные записи.

🛡️ Методы защиты от Nightmare Eclipse

Для защиты от подобных атак необходимо применять комплексный подход. Ниже приведены ключевые рекомендации.

• Установка обновлений: Немедленно установите все последние обновления безопасности Microsoft Patch Tuesday. Особое внимание уделите критическим обновлениям для Windows, Office и Exchange Server.
• Включение многофакторной аутентификации (MFA): Используйте MFA для всех учётных записей, особенно для административных. Это предотвратит использование украденных учётных данных.
• Настройка SIEM и XDR: Внедрите системы класса SIEM и XDR для обнаружения аномальной активности. Настройте корреляцию событий для выявления цепочек атак.
• Блокировка макросов: Отключите выполнение макросов VBA в документах Office, полученных из внешних источников. Используйте политики Group Policy для централизованного управления.
• Сегментация сети: Разделите сеть на сегменты с помощью микросегментации. Это ограничит возможность латерального перемещения злоумышленников.
• Регулярные пентесты: Проводите регулярные тестирования на проникновение (пентесты) для выявления уязвимостей до того, как их найдут злоумышленники.

📊 Статистика и последствия

Кампания Nightmare Eclipse нанесла значительный ущерб. По оценкам аналитиков, было скомпрометировано более 200 организаций в 15 странах. Среднее время от начала атаки до обнаружения составило 12 дней. В некоторых случаях злоумышленники оставались незамеченными до 30 дней. Основные цели атак — государственные учреждения (40%), промышленные предприятия (35%) и телекоммуникационные компании (25%).

Финансовые потери от атаки оцениваются в десятки миллионов долларов, включая затраты на восстановление инфраструктуры, выплаты выкупов (в некоторых случаях) и репутационные потери. По данным отчёта Microsoft Digital Defense Report, количество атак, использующих несколько 0-day уязвимостей, выросло на 150% по сравнению с 2025 годом.

🔮 Выводы и уроки

Кампания Nightmare Eclipse показала, что современные киберугрозы становятся всё более сложными и многоэтапными. Использование восьми уязвимостей нулевого дня одновременно — это не случайность, а продуманная стратегия, направленная на максимальное разрушение защиты. Основные уроки для организаций:

• Не полагайтесь только на антивирус. Современные атаки легко обходят традиционные сигнатурные методы обнаружения.
• Инвестируйте в Threat Intelligence. Используйте данные об угрозах для превентивной защиты.
• Обучайте сотрудников. Фишинг остаётся одним из самых эффективных векторов атак.
• Внедряйте автоматизацию. Используйте инструменты автоматического реагирования на инциденты для сокращения времени реакции.

Защита от подобных атак требует постоянного мониторинга, обновления инфраструктуры и применения современных подходов к кибербезопасности, таких как Zero Trust и XDR.

📚 Читайте также

• Уязвимости инверторов Hoymiles: как дрон может обесточить десятки домов
• C2-коммуникации через легитимные платформы: как злоумышленники прячутся в Steam, соцсетях и облаках
• Защита корпоративных LLM от утечки данных: риски и методы защиты
• Как выявлять фрод по браузерным сигналам: антибот-методики
• Управление уязвимостями: полный цикл обнаружения и устранения

📖 Термины

CVE (Common Vulnerabilities and Exposures) · CVSS (Common Vulnerability Scoring System) · RCE (Remote Code Execution) · Zero Trust · Фишинг

🔗 Источники

• CVE-2022-30190 – Microsoft Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability(2026-07-29 ✓)
• CVE-2023-23397 – Microsoft Outlook Elevation of Privilege Vulnerability(2026-07-29 ✓)
• CVE-2024-38077 – Windows Print Spooler Remote Code Execution Vulnerability(2026-07-29 ✓)
• Microsoft Digital Defense Report 2025(2026-06-27 ✓)
• Microsoft Security Response Center – Update Guide(2026-07-29 ✓)
• Восемь 0-day против Microsoft. Как Nightmare Eclipse превратил раскрытие уязвимостей в личную войну(2026-07-29 ✓)
• Ключевые уязвимости Microsoft Patch Tuesday за июль 2026(2026-07-29 ✓)