В интернете появилась уязвимость типа zero-day, которая позволяет людям с физическим доступом к устройству под управлением Windows 11 за считанные секунды обойти защиту BitLocker и получить полный доступ к зашифрованному диску.

Эксплуатируемая уязвимость получила название YellowKey и была опубликована на этой неделе исследователем с псевдонимом Nightmare-Eclipse. Она стабильно обходит защиту BitLocker по умолчанию — технологии шифрования всего диска от компании Майкрософт (Microsoft), предназначенной для блокировки доступа к данным без специального ключа расшифровки. Этот ключ обычно хранится в защищённом аппаратном модуле, известном как доверенная платформа (TPM). BitLocker обязателен для использования во многих организациях, включая те, что работают с государственными контрактами.

Как одна файловая система манипулирует другой

Суть атаки YellowKey — в специально созданной папке FsTx. Информация об этом компоненте в открытых источниках практически отсутствует. Однако, как выяснилось, она связана с файлом fstx.dll и, судя по всему, использует технологию Transactional NTFS от Майкрософт. Эта функция позволяет разработчикам выполнять файловые операции в режиме «транзакционной атомарности» — то есть либо полностью завершать операцию, либо откатывать её при ошибке, даже если она затрагивает несколько файлов или дисков.

Атака выполняется просто:

• Скопировать папку FsTx со страницы эксплойта Nightmare-Eclipse на USB-накопитель с файловой системой NTFS или FAT
• Подключить USB к защищённому BitLocker устройству
• Включить устройство и сразу же зажать клавишу [Ctrl]
• Попасть в среду восстановления Windows

Попасть в режим восстановления можно двумя способами: либо удерживая [Shift] при перезагрузке из работающей системы, либо перезагружая устройство сразу после начала загрузки Windows.

В результате открывается командная строка (CMD.EXE) с полным доступом ко всем данным на диске. Атакующий может копировать, изменять или удалять файлы. При обычной процедуре восстановления система потребовала бы ввести ключ восстановления BitLocker. Но эксплуат YellowKey каким-то образом обходит эту проверку. Работоспособность уязвимости подтвердили несколько специалистов по безопасности, включая Кевина Бомонта (Kevin Beaumont) и Уилла Дорманна (Will Dormann).

Точный механизм обхода пока неясен. Дорманн предполагает, что он связан с Transactional NTFS, который в основе использует систему журналирования команд. Он также отметил, что при анализе файла fstx.dll в функции FsTxFindSessions() обнаруживается код, который явно ищет путь \System Volume Information\FsTx.

A zero-day exploit circulating online allows people with physical access to a Windows 11 system to bypass default BitLocker protections and gain complete access to an encrypted drive within seconds.

The exploit, named YellowKey, waspublishedearlier this week by a researcher who goes by the alias Nightmare-Eclipse. It reliably bypasses default Windows 11 deployments of BitLocker, the full-volume encryption protection Microsoft provides to make disk contents off-limits to anyone without the decryption key, which is stored in a secured piece of hardware known as a trusted platform module (TPM). BitLocker is a mandatory protection for many organizations, including those that contract with governments.

When one disk volume manipulates another

The core of the YellowKey exploit is a custom-made FsTx folder. Online documentation of this folder is hard to find. As explained later, the directory associated with the file fstx.dll appears to involve what Microsoft calls thetransactional NTFS, which allows developers to have “transactional atomicity” for file operations in transactions with a single file, multiple files, or ones that span multiple sources.

The steps for carrying out the bypass are simple:

1. Copy the custom FsTx folder from the Nightmare-Eclipse exploit page to an NTFS- or FAT-formatted USB drive
2. Connect the USB drive to the BitLocker-protected device
3. Boot up the device and immediately press and hold down the [Ctrl] key
4. Enter Windows recovery

There are at least two ways to accomplish the third step. One way is to boot into Windows, hold down the [Shift] key, click on the power icon, and click restart. Another is to power on the device and restart it as soon as Windows starts booting.

In either case, a command (CMD.EXE) prompt appears. The prompt has full access to the entire drive contents, allowing an attacker to copy, modify, or delete them. In a normal Windows Recovery flow, the attacker would need to enter a BitLocker recovery key. Somehow, the YellowKey exploit bypasses this safeguard. Multiple researchers, includingKevin BeaumontandWill Dormann, have confirmed the exploit works as described here.

It’s unclear what in the custom FsTx folder causes the bypass. Dormann said that it appears to be related to Transactional NTFS, which itself usescommand-log file systemunder the hood. Dormann further noted that by looking at the Windows fstx.dll, one will see code that explicitly looks for \System Volume Information\FsTx in the FsTxFindSessions() function.”