YellowKey: критична уязвимост в Windows 11 дава достъп до данни, криптирани с BitLocker – нужна ви е само една флашка

Нова уязвимост, наречена YellowKey позволява лесно и бързо да се получи достъп до дисковете на Windows системи, защитени с BitLocker криптиране, с помощта на само една флашка и физически достъп до компютъра. Изследователят Nightmare-Eclipse, който я е открил и описал експлоатирането ѝ стъпка по стъпка в GitHub счита този метод за фактически бекдор в Windows, съобщава Tom’s Hardware.

Този изследовател има интересна история на взаимоотношенията си с Microsoft. Миналия месец той публикува два експлойта от типа „нулев ден“ – BlueHammer и RedSun, които принуждават Windows Defender да предостави привилегии на системен администратор. Това беше направено, след като неговите доклади за уязвимостите били отхвърлени от екипа по сигурност на Microsoft.

Сега Eclipse отново го направи: той публикува два нови експлойта от типа „нулев ден“. Първият от тях е опасна уязвимост в BitLocker, наречена Yellow Key, която предоставя пълен достъп до заключено устройство за съхранение. Вторият, GreenPlasma няма пълно потвърждение на концепцията, но предполагаемо повишава привилегиите локално и предоставя достъп на системно ниво.

YellowKey изглежда изключително лесна за използване. Накратко – трябва просто да копирате папката на USB устройство и да я заредите в средата за възстановяване на Windows. Журналистите от Tom’s Hardware тестваха този пробив: „той не само работи, но и има всички признаци на бекдор, дотолкова, че файловете на експлойта изчезват от USB устройството след първата употреба“.

Oпасността от такъв достъп е изключително голяма. При наличието на такава уязвимост е трудно е да се има доверие в BitLocker за криптиране на данни. Въпреки това простото изваждане на устройството и декриптирането му другаде няма да се получи поради уникалните ключове за криптиране – необходим е оригиналният компютър. Що се отнася до вероятния умишлен бекдор, ето какво мисли Nightmare-Eclipse по този въпрос:

„Защо мога да го нарека бекдор? Компонентът, отговорен за тази грешка липсва навсякъде (дори в интернет), освен в образа на WinRE и подозрение буди фактът, че точно същият компонент присъства със същото име в обичайната инсталация на Windows, но без функциите, които предизвикват проблема с заобикалянето на Bitlocker. Защо? Просто нямам други обяснения, освен че това е направено умишлено. Също така, по някаква причина това засяга само Windows 11 (+Server 2022/2025), а Windows 10 – не.“

Eclipse отбелязва, че използването на пълна настройка на TPM и PIN код няма да помогне. Той също така твърди, че уязвимостта е добре скрита и че „би могъл да спечели луди пари, продавайки я, но никаква сума пари няма да застане между мен и моята решителност срещу Microsoft“. Към момента компанията не е реагирала на публикуването на данни за YellowKey или GreenPlasma. По-ранната уязвимост BlueHammer вече е отстранена, а авторът твърди, че Microsoft тихомълком е отстранила и RedSun, но няма официална информация по този въпрос.