Киберексперт: Microsoft тайно е вградила задна вратичка в BitLocker

Изследовател, известен като „Nightmare-Eclipse“, наскоро публикува информация за YellowKey - уязвимост в сигурността, която позволява пълно заобикаляне на криптирането на целия дял с помощта на BitLocker. Изследователят описва YellowKey като един от „най-безумните“ недостатъци, които някога е срещал, и също така обвинява Microsoft в потенциално вграждане на легитимна задна врата в системата BitLocker за защита на данните.

Според изследователя YellowKey изглежда твърде необичайно за един никому неизвестен досега бъг в сигурността. Nightmare-Eclipse обясни, че бъгът може да бъде възпроизведен чрез копиране на наличната папка „FsTx“ на USB устройство, форматирано с файлова система, съвместима с Windows, като например NTFS, FAT32 или exFAT.

Уязвимостта може да функционира и без USB устройство, ако файловете от FsTx се копират в EFI дяла на Windows и криптираният диск временно се изключи от системата. След като копира и постави папката FsTx на същото място, хакерът трябва само да рестартира защитената с BitLocker машина, да влезе в средата за възстановяване на Windows и да следва определената последователност от действия.

Ако процедурата е изпълнена правилно, появява се команден шел, който предоставя неограничен достъп до томовете (дяловете), защитени с BitLocker. Не се изискват пароли, а криптираните данни стават напълно достъпни за преглеждане, копиране и други файлови операции.

Nightmare-Eclipse вярва, че уязвимостта YellowKey с основание може да се счита за задна врата, умишлено внедрена в BitLocker от Microsoft. Аргументите му са, че компонентът, който задейства този проблем, може да бъде открит само в официалния WinRE имидж. Същият компонент присъства и в стандартните инсталационни файлови образи на Windows, но той не притежава способността за заобикаляне на BitLocker, наблюдавана в реалните системи.

Изследователят обясни, че "просто не може да измисли никакво друго обяснение освен,, че това е направено умишлено. Също така по някаква причина само Windows 11 (+Server 2022/2025) са засегнати, а Windows 10 не е.

Други изследователи потвърдиха, че YellowKey се държи точно по начина, описан от Nightmare-Eclipse в публичните материали на GitHub. Освен това изследователят е пуснал втори експлойт - GreenPlasma, за който се твърди, че позволява повишаване на привилегиите. Той не е публикувал пълния код за доказване на концепцията за постигане на достъп на ниво SYSTEM, като вместо това посочва, че може да разкрие допълнителни подробности преди Patch Tuesday следващия месец.

Nightmare-Eclipse е известен с това, че е настроен срещу Microsoft и предполагаемата враждебност на компанията към външни изследователи на сигурността. Преди това, работейки под псевдонима „Chaotic Eclipse“, той публикува Red Sun и други уязвимости с публичен код само за доказване на концепцията, като същевременно обвинява Microsoft, че е навредил на неговата кариера и репутация.