Дослідник під псевдонімом Chaotic Eclipse (Nightmare-Eclipse), який раніше розкрив три вразливості в Microsoft Defender, опублікував інформацію про дві нові невиправлені вразливості нульового дня в Windows: YellowKey — обхід шифрування BitLocker через середовище відновлення Windows (WinRE), і GreenPlasma — ескалація привілеїв через компонент Windows CTFMON. Обидві вразливості впливають на Windows 11 і Windows Server 2022/2025, для обох доступні публічні PoC-матеріали, однак Microsoft поки не випустила офіційних рекомендацій. Організаціям, які використовують BitLocker без предзавантажувальної автентифікації PIN-кодом, слід негайно переглянути конфігурацію захисту дисків.

YellowKey: обхід BitLocker через транзакційний NTFS

Вразливість YellowKey являє собою обхід повнодискового шифрування BitLocker, що експлуатується виключно через середовище відновлення Windows (WinRE). За даними дослідника, атака виконується таким чином:

1. На USB-накопичувач або розділ EFI розміщуються спеціально сформовані файли в директорії FsTx (механізм транзакційного NTFS)
2. USB-накопичувач підключається до цільової машини з активованим BitLocker
3. Система перезавантажується в WinRE
4. Утримання клавіші CTRL викликає командну оболонку з доступом до розшифрованого тому

Ключовий технічний аспект підтвердив незалежний дослідник Вілл Дорманн, який повідомив про успішне відтворення вразливості: транзакційні структури NTFS на USB-накопичувачі здатні видалити файл winpeshl.ini на іншому томі (X:), що призводить до запуску cmd.exe замість штатного середовища відновлення — при цьому том BitLocker уже розшифрований. Дорманн окремо підкреслив, що сама здатність директорії \System Volume Information\FsTx на одному томі модифікувати вміст іншого тому під час відтворення транзакцій є самостійною вразливістю.

За твердженням дослідника, захист TPM+PIN не запобігає експлуатації YellowKey. Однак це твердження походить з єдиного джерела і поки не підтверджене незалежно. Для експлуатації потрібен фізичний доступ до пристрою.

GreenPlasma: неповна, але перспективна ескалація привілеїв

Друга вразливість, GreenPlasma, пов’язана з довільним створенням об’єктів секцій пам’яті через компонент Windows Collaborative Translation Framework (CTFMON). У поточному вигляді опублікований PoC є неповним — він не демонструє отримання повноцінної оболонки з правами SYSTEM. Втім, експлойт дає змогу непривілейованому користувачеві створювати довільні об’єкти секцій пам’яті всередині об’єктів директорій, доступних для запису процесам рівня SYSTEM. Це потенційно відкриває можливість маніпуляції привілейованими сервісами або драйверами, які неявно довіряють цим шляхам.

Попри неповноту поточного PoC, примітив довільного створення секцій у привілейованих директоріях є серйозною передумовою для повноцінної ескалації привілеїв. Доробка експлойта до робочого стану — питання часу та кваліфікації зловмисника.

Контекст: ескалація конфлікту з Microsoft

Публікація YellowKey і GreenPlasma відбулася приблизно через місяць після розкриття тим самим дослідником трьох вразливостей у Microsoft Defender — BlueHammer, RedSun і UnDefend. З них BlueHammer отримала ідентифікатор CVE-2026-33825 і була виправлена Microsoft. За заявою дослідника, RedSun була усунена «тихо», без публікації рекомендації — однак це твердження не підтверджене незалежними джерелами.

Дослідник відкрито висловлює невдоволення процесом обробки вразливостей з боку MSRC і анонсував «великий сюрприз» для Microsoft, приурочений до червневого Patch Tuesday 2026. Представник Microsoft раніше заявляв про відданість компанії принципам координованого розкриття вразливостей і зобов’язання розслідувати всі повідомлення про проблеми безпеки.

Паралельне дослідження: даунгрейд-атака на BitLocker

Паралельно з розкриттям YellowKey французька компанія Intrinsec описала окремий ланцюжок атаки на BitLocker через зниження версії завантажувача. Метод експлуатує фундаментальну особливість Secure Boot: перевіряється лише сертифікат підпису бінарного файла, але не його версія. Це дає змогу завантажити стару вразливу версію bootmgfw.efi, підписану довіреним сертифікатом PCA 2011.

Суть атаки: у файл SDI (System Deployment Image) додається другий образ WIM із модифікованою таблицею блобів. Завантажувач перевіряє цілісність першого (легітимного) WIM, але завантажується з другого (контрольованого зловмисником), що містить заражений образ WinRE з cmd.exe. За даними Intrinsec, атака виконується менш ніж за п’ять хвилин на повністю оновлених системах Windows 11 і вимагає фізичного доступу.

Згідно з документацією Microsoft, компанія планує найближчим часом відкликати застарілі сертифікати PCA 2011. До моменту відкликання старий вразливий завантажувач, підписаний цим сертифікатом, може бути завантажений без спрацювання захисту Secure Boot.

Оцінка впливу

Найбільшому ризику від YellowKey піддаються організації, які покладаються на BitLocker у режимі TPM-only без предзавантажувальної автентифікації — типова конфігурація для корпоративних ноутбуків. Фізичний доступ до пристрою (крадіжка, вилучення, доступ інсайдера) у поєднанні з USB-накопичувачем потенційно дає змогу отримати доступ до розшифрованих даних. Для GreenPlasma безпосередній ризик нижчий через неповноту PoC, однак сам примітив атаки може бути доопрацьований.

Практичні рекомендації

• Увімкніть предзавантажувальну автентифікацію BitLocker PIN-кодом — це рекомендація самої Microsoft і найефективніший захід проти обох класів атак на BitLocker
• Мігруйте ланцюжок довіри завантажувача на сертифікат CA 2023 і відкличте старий сертифікат PCA 2011 відповідно до керівництва Microsoft щодо відкликання завантажувачів
• Обмежте завантаження з USB через політики UEFI/BIOS на корпоративних пристроях
• Контролюйте фізичний доступ до критичних систем — обидві атаки на BitLocker вимагають безпосереднього контакту з пристроєм
• Стежте за червневим Patch Tuesday 2026 — з урахуванням анонсованих дослідником нових розкриттів оновлення можуть містити критичні виправлення

Сукупність YellowKey, GreenPlasma та незалежного дослідження Intrinsec демонструє системну проблему: модель захисту BitLocker у конфігурації TPM-only без предзавантажувального PIN-коду вразлива до кількох незалежних векторів атак за наявності фізичного доступу. Пріоритетна дія для адміністраторів — активація BitLocker PIN і міграція на сертифікат CA 2023 до відкликання PCA 2011, яке заплановане на найближчий місяць.