El investigador bajo el seudónimo Chaotic Eclipse (Nightmare-Eclipse), que anteriormente reveló tres vulnerabilidades en Microsoft Defender, ha publicado información sobre dos nuevas vulnerabilidades de día cero sin parchear en Windows: YellowKey, una elusión del cifrado de BitLocker a través del entorno de recuperación de Windows (WinRE), y GreenPlasma, una escalada de privilegios mediante el componente Windows CTFMON. Ambas vulnerabilidades afectan a Windows 11 y Windows Server 2022/2025; existen PoC públicos para ambas, pero Microsoft aún no ha publicado recomendaciones oficiales. Las organizaciones que utilizan BitLocker sin autenticación previa al arranque mediante PIN deben revisar de inmediato su configuración de protección de discos.
YellowKey: elusión de BitLocker a través de NTFS transaccional
La vulnerabilidad YellowKey constituye una elusión del cifrado de disco completo de BitLocker, explotable exclusivamente a través del entorno de recuperación de Windows (WinRE). Según el investigador, el ataque se lleva a cabo del siguiente modo:
- Se colocan archivos especialmente formateados en un dispositivo USB o en una partición EFI en el directorio FsTx (mecanismo de NTFS transaccional)
- La unidad USB se conecta a la máquina objetivo con BitLocker activado
- El sistema se reinicia en WinRE
- Al mantener pulsada la tecla CTRL se lanza un intérprete de comandos con acceso al volumen descifrado
Un aspecto técnico clave fue confirmado por el investigador independiente Will Dormann, que informó haber reproducido con éxito la vulnerabilidad: las estructuras transaccionales NTFS en la unidad USB son capaces de eliminar el archivo winpeshl.ini en otro volumen (X:), lo que hace que se inicie cmd.exe en lugar del entorno de recuperación estándar; en ese momento, el volumen BitLocker ya está descifrado. Dormann destacó por separado que la propia capacidad del directorio \System Volume Information\FsTx en un volumen de modificar el contenido de otro volumen al reproducir transacciones constituye por sí misma una vulnerabilidad independiente.
Según el investigador, la protección TPM+PIN no evita la explotación de YellowKey. Sin embargo, esta afirmación procede de una única fuente y aún no ha sido confirmada de forma independiente. Para la explotación se requiere acceso físico al dispositivo.
GreenPlasma: escalada de privilegios incompleta pero prometedora
La segunda vulnerabilidad, GreenPlasma, está relacionada con la creación arbitraria de objetos de sección de memoria a través del componente Windows Collaborative Translation Framework (CTFMON). En su estado actual, el PoC publicado es incompleto: no demuestra la obtención de una shell completa con privilegios SYSTEM. No obstante, el exploit permite que un usuario sin privilegios cree objetos de sección de memoria arbitrarios dentro de objetos de directorio que son escribibles por procesos con nivel SYSTEM. Esto abre potencialmente la posibilidad de manipular servicios o controladores privilegiados que confían implícitamente en esas rutas.
A pesar de la incompletitud del PoC actual, el primitivo de creación arbitraria de secciones en directorios privilegiados constituye un prerrequisito serio para una escalada de privilegios completa. La adaptación del exploit hasta un estado plenamente funcional es solo una cuestión de tiempo y del nivel de cualificación del atacante.
Contexto: escalada del conflicto con Microsoft
La publicación de YellowKey y GreenPlasma se produjo aproximadamente un mes después de que el mismo investigador revelara tres vulnerabilidades en Microsoft Defender — BlueHammer, RedSun y UnDefend. De ellas, BlueHammer recibió el identificador CVE-2026-33825 y fue corregida por Microsoft. Según el investigador, RedSun se solucionó «en silencio», sin publicación de un aviso, aunque esta afirmación no ha sido confirmada por fuentes independientes.
El investigador expresa abiertamente su descontento con el proceso de gestión de vulnerabilidades por parte de MSRC y ha anunciado una «gran sorpresa» para Microsoft, coincidiendo con el Patch Tuesday de junio de 2026. Un representante de Microsoft declaró anteriormente el compromiso de la compañía con la divulgación coordinada de vulnerabilidades y con la investigación de todos los informes sobre problemas de seguridad.
Investigación paralela: ataque de downgrade contra BitLocker
Paralelamente a la divulgación de YellowKey, la empresa francesa Intrinsec describió una cadena de ataque distinta contra BitLocker mediante la degradación de la versión del cargador de arranque. El método explota una característica fundamental de Secure Boot: solo se verifica el certificado de firma del binario, pero no su versión. Esto permite cargar una versión antigua y vulnerable de bootmgfw.efi, firmada con el certificado de confianza PCA 2011.
La esencia del ataque es la siguiente: se añade una segunda imagen WIM con una tabla de blobs modificada al archivo SDI (System Deployment Image). El cargador de arranque comprueba la integridad de la primera imagen WIM (legítima), pero se inicia desde la segunda (controlada por el atacante), que contiene una imagen WinRE manipulada con cmd.exe. Según Intrinsec, el ataque se ejecuta en menos de cinco minutos en sistemas Windows 11 totalmente actualizados y requiere acceso físico.
Según la documentación de Microsoft, la compañía planea revocar en un futuro próximo los certificados PCA 2011 obsoletos. Hasta que se lleve a cabo la revocación, el cargador de arranque antiguo y vulnerable firmado con ese certificado puede cargarse sin que se active la protección de Secure Boot.
Evaluación del impacto
YellowKey supone el mayor riesgo para las organizaciones que dependen de BitLocker en modo solo TPM (TPM-only), sin autenticación previa al arranque, una configuración típica para portátiles corporativos. El acceso físico al dispositivo (robo, incautación, acceso de un insider) combinado con una unidad USB puede potencialmente permitir el acceso a datos ya descifrados. En el caso de GreenPlasma, el riesgo inmediato es menor debido a la incompletitud del PoC, aunque el propio primitivo de ataque podría perfeccionarse.
Recomendaciones prácticas
- Active la autenticación previa al arranque de BitLocker mediante PIN: es la recomendación de la propia Microsoft y la medida más eficaz contra ambas clases de ataques a BitLocker
- Migre la cadena de confianza del cargador de arranque al certificado CA 2023 y revoque el certificado antiguo PCA 2011 de acuerdo con la guía de Microsoft sobre la revocación de cargadores de arranque
- Restrinja el arranque desde USB mediante políticas de UEFI/BIOS en los dispositivos corporativos
- Controle el acceso físico a los sistemas críticos: ambos ataques contra BitLocker requieren contacto directo con el dispositivo
- Supervise el Patch Tuesday de junio de 2026: dadas las nuevas revelaciones anunciadas por el investigador, las actualizaciones pueden incluir correcciones críticas
La combinación de YellowKey, GreenPlasma y la investigación independiente de Intrinsec pone de manifiesto un problema sistémico: el modelo de protección de BitLocker en configuración TPM-only sin PIN de prearranque es vulnerable a varios vectores de ataque independientes cuando existe acceso físico. La acción prioritaria para los administradores es activar el PIN de BitLocker y migrar al certificado CA 2023 antes de la revocación de PCA 2011, prevista para el próximo mes.
