Luka w BitLockerze i eskalacja uprawnień. Nowe exploity dla Windows bez łatki

Badacz cyberbezpieczeństwa publikujący pod pseudonimem Chaotic Eclipse udostępnił publicznie dowody koncepcyjne (PoC) dla dwóch niezałatanych podatności w systemie Microsoft Windows. Pierwsza z nich, nazwana YellowKey, pozwala ominąć ochronę dysków szyfrowanych za pomocą BitLockera. Druga, GreenPlasma, umożliwia eskalację uprawnień w systemie. Microsoft nie wydał jeszcze poprawek, a badacze potwierdzają, że exploity działają. Dla administratorów i użytkowników Windows 11 oraz Windows Server oznacza to konieczność wdrożenia tymczasowych zabezpieczeń.

Co wiadomo o podatnościach YellowKey i GreenPlasma

Jak opisano w raporcie BleepingComputer, YellowKey to podatność typu BitLocker bypass, która dotyczy Windows 11 oraz Windows Server 2022 i 2025. Exploit polega na umieszczeniu specjalnie spreparowanych plików FsTx na dysku USB lub w partycji EFI, a następnie uruchomieniu systemu w środowisku odzyskiwania Windows (WinRE). Przytrzymanie klawisza CTRL powoduje wywołanie konsoli z pełnym dostępem do zaszyfrowanego woluminu.

Niezależny badacz bezpieczeństwa Kevin Beaumont potwierdził, że exploit jest skuteczny i określił go jako „backdoor” w BitLockerze. Z kolei Will Dormann z Tharros Labs wyjaśnił, że YellowKey wykorzystuje mechanizm transakcji NTFS w połączeniu z obrazem odzyskiwania Windows. „Windows szuka katalogów System Volume InformationFsTx na podłączonych dyskach i odtwarza logi NTFS. W rezultacie plik winpeshl.ini jest usuwany, a zamiast środowiska odzyskiwania uruchamiana jest konsola CMD.EXE – w momencie, gdy dysk jest wciąż odblokowany” – powiedział Dormann.

Druga podatność, GreenPlasma, to luka w mechanizmie CTFMON (Windows CTFMON Arbitrary Section Creation Elevation of Privileges Vulnerability). Nieuprzywilejowany użytkownik może tworzyć dowolne obiekty sekcji pamięci w katalogach zapisywalnych przez SYSTEM, co potencjalnie pozwala manipulować usługami działającymi z podwyższonymi uprawnieniami. Opublikowany PoC jest niekompletny – brakuje w nim komponentu do uzyskania pełnej powłoki SYSTEM – ale sam badacz twierdzi, że „jeśli jesteś wystarczająco bystry, możesz przerobić to na pełną eskalację uprawnień”.

Kto jest narażony i jakie są ograniczenia exploitów

YellowKey działa wyłącznie na urządzeniu, na którym skonfigurowano szyfrowanie BitLocker w trybie TPM-only (bez dodatkowego PIN-u). Oznacza to, że exploit nie pozwala na odszyfrowanie skradzionego dysku – wymaga dostępu do oryginalnego komputera, w którego układzie TPM przechowywane są klucze szyfrujące. Jednak w przypadku utraty lub kradzieży laptopa, który jest włączony lub uśpiony, atakujący może wykorzystać tę lukę, aby uzyskać dostęp do danych bez znajomości hasła.

Chaotic Eclipse stwierdził, że podatność jest możliwa do wykorzystania nawet w środowisku z TPM i PIN-em, ale nie opublikował jeszcze exploita dla tej konfiguracji. „Uważam, że minie trochę czasu, zanim nawet MSRC znajdzie prawdziwą przyczynę problemu. Po prostu nigdy nie zrozumiałem, dlaczego ta podatność jest tak dobrze ukryta” – skomentował badacz.

GreenPlasma z kolei wymaga lokalnego dostępu do systemu i nie jest jeszcze w pełni funkcjonalna. Niemniej jednak, jak zauważył badacz, stworzona sekcja pamięci może być wykorzystana do wpływania na dane i usługi, w tym sterowniki trybu jądra, które ufają określonym ścieżkom.

Reakcja Microsoftu i kontekst publikacji

Chaotic Eclipse od kilku miesięcy publikuje exploity dla niezałatanych luk w Windows. Wcześniej ujawnił podatności BlueHammer (CVE-2026-33825) oraz RedSun – obie były już wykorzystywane w atakach. Badacz zapowiedział, że będzie kontynuował publikację exploitów, a na najbliższy Patch Tuesday szykuje „wielką niespodziankę”.

Rzecznik Microsoftu w odpowiedzi na pytania BleepingComputer przekazał, że firma „jest zaangażowana w badanie zgłoszonych problemów bezpieczeństwa i aktualizację urządzeń w celu ochrony klientów tak szybko, jak to możliwe”. Jednocześnie podkreślił znaczenie koordynacji ujawniania podatności. W praktyce oznacza to, że na razie nie ma oficjalnej łatki, a administratorzy muszą polegać na zabezpieczeniach tymczasowych.

Jak chronić się do czasu wydania poprawek

Do momentu opublikowania oficjalnych aktualizacji przez Microsoft, zaleca się podjęcie następujących kroków:

• Włączenie PIN-u do BitLockera – jak potwierdził Kevin Beaumont, użycie PIN-u (TPM+PIN) uniemożliwia działanie obecnej wersji exploita YellowKey. Należy jednak pamiętać, że badacz twierdzi, iż podatność istnieje również w tej konfiguracji, choć nie opublikował jeszcze odpowiedniego exploita.
• Ustawienie hasła BIOS/UEFI – uniemożliwia to bootowanie z nieautoryzowanych nośników, co jest kluczowym krokiem ataku.
• Ograniczenie dostępu fizycznego do urządzeń – YellowKey wymaga fizycznego dostępu do komputera. W przypadku laptopów służbowych warto rozważyć przechowywanie ich w zamkniętych pomieszczeniach.
• Monitorowanie logów systemowych – próby wykorzystania WinRE mogą pozostawić ślady w dziennikach zdarzeń. Administratorzy powinni zwracać uwagę na nietypowe uruchomienia środowiska odzyskiwania.
• Stosowanie zasady najmniejszych uprawnień – GreenPlasma wymaga lokalnego konta użytkownika. Ograniczenie uprawnień i stosowanie mechanizmów takich jak Windows Defender Application Control może utrudnić eskalację.

Warto również śledzić komunikaty Microsoft Security Response Center oraz wpisy na blogu SANS Internet Storm Center, które regularnie informują o nowych zagrożeniach.

Co dalej?

Publikacja exploitów przez Chaotic Eclipse wpisuje się w szerszy trend ujawniania luk bez czekania na łatki. Dla użytkowników i administratorów oznacza to konieczność szybszego reagowania i wdrażania zabezpieczeń kompensujących. Microsoft prawdopodobnie wyda poprawki w ramach najbliższego Patch Tuesday, ale do tego czasu kluczowe jest stosowanie się do zaleceń dotyczących PIN-u i haseł BIOS. Sytuacja pokazuje również, że nawet tak powszechnie używane narzędzie jak BitLocker może mieć ukryte słabości, które wymagają ciągłej uwagi ze strony specjalistów ds. bezpieczeństwa.