Het Microsoft MAPP beveiligingsprogramma zorgt ervoor dat exploits voor nog te patchen beveiligingslekken in handen van China komen. Dat stelt één van de exploit-handelaren die in een artikel van Forbes wordt genoemd. Het artikel gaat in op de handel in exploits, waarmee inlichtingendiensten op willekeurige computers kunnen inbreken omdat er nog geen patches voor de kwetsbaarheden beschikbaar zijn. Critici vinden de handel in exploits, waardoor ook dissidenten risico zouden lopen, onverantwoord.

Volgens "The Grugq" bewijst het recente lek van een exploit voor een kwetsbaarheid in de Remote Desktop-functie van Windows dat het Microsoft Active Protections Program (MAPP) niet werkt. De exploit verscheen op een Chinese website. "Kregen de Chinezen de zero-day informatie vroegtijdig? Ja. Gebruikten ze het om een exploit te ontwikkelen? Klaarblijkelijk."

MAPP
Beveiligingsbedrijven kunnen de informatie afkomstig van MAPP in hun eigen producten verwerken, zodat klanten tegen exploits en malware beschermd zijn. Inmiddels zijn ruim 80 beveiligingsbedrijven bij MAPP aangesloten, waaronder verschillende Chinese bedrijven.

The Grugq hekelt ook het "op verantwoorde wijze" inlichten van de leverancier of softwareontwikkelaar. "Als je de leverancier informeert, zullen ze de zero-day aan China geven." Daarbij doelt de exploit-handelaar op Microsoft. "Microsoft leverde zero-day informatie aan de enige natie die betrokken bij cyberaanvallen is", zo volgt in een latere tweet.

Wetgeving
Als het aan privacyonderzoeker Christopher Soghoian ligt wordt de markt voor het verhandelen van exploits gereguleerd. Maar daar is The Grugq niet van onder de indruk. "Als we iets hebben geleerd is dat wetgeving alles oplost", merkt hij sarcastisch op, waarbij de exploit-handelaar naar wetten als SOPA, CALEA en DMCA wijst.

Eerder noemde ook beveiligingsexpert Robert Graham het MAPP-programma een scam. Die kritiek was echter gericht tegen de technische werking van het programma, aangezien de signatures die aangesloten beveiligingsbedrijven ontwikkelen geen volledige bescherming zouden bieden. Naar aanleiding van het lek heeft Microsoft een onderzoek ingesteld. De resultaten hiervan zijn nog niet bekend.