El investigador Chaotic Eclipse ha revelado dos vulnerabilidades críticas: YellowKey y GreenPlasma. YellowKey permite acceder a discos protegidos por BitLocker mediante una memoria USB sin necesidad de claves, funcionando como una puerta trasera. Por otro lado, GreenPlasma permite obtener acceso total al sistema, afectando gravemente a computadoras y servidores de Windows.

No hay nada más peligroso que un ingeniero aburrido con un destornillador, y el infierno no tiene tanta furia como la de un investigador de seguridad despreciado. El mes pasado, el investigador de seguridad Chaotic Eclipse (aka Nightmare-Eclipse) publicó dos exploits de día cero, BlueHammer y RedSun , que hacían que Windows Defender concediera privilegios de administrador del sistema. Lo hicieron después de que sus informes de divulgación fueran presuntamente descartados por el equipo de seguridad de Microsoft, lo que resultó en una especie de vendetta. Eclipse lo ha vuelto a hacer, publicando dos nuevos exploits de día cero: el primero es un exploit de BitLocker extremadamente grave llamado Yellow Key que otorga acceso total a una unidad bloqueada. El segundo, GreenPlasma, no tiene una prueba de concepto (PoC) completa, pero supuestamente realiza una escalada de privilegios locales y obtiene acceso a nivel de sistema. Dado el historial de Eclipse, es razonable apostar a que funciona según lo anunciado.

Yellowkey puede activarse simplemente copiando algunos archivos a un USB

YellowKey puede activarse simplemente copiando algunos archivos a un stick USB y reiniciando el Entorno de Recuperación de Windows. Nosotros mismos lo probamos y, efectivamente, no solo funciona, sino que presenta todas las características de una puerta trasera, llegando al punto de que los archivos del exploit desaparecen del USB después de usarse una vez.

• https://github.com/Nightmare-Eclipse/YellowKey

El proceso es sumamente sencillo: toma cualquier stick USB, obtén acceso de escritura a "System Volume Information" y copia en él la carpeta "FsTx" y su contenido. Haz clic en Reiniciar manteniendo Shift para llevar a Windows al entorno de recuperación, pero luego cambia a mantener presionada la tecla Control y no la sueltes. La máquina se reiniciará y, sin hacer preguntas ni mostrar menús, te dejará en una línea de comandos elevada con acceso total a la unidad previamente protegida por BitLocker, sin pedir ninguna clave.

¡Mira mamá, sin claves! (Crédito de la imagen: Future)

Decir que esto es peligroso es quedarse corto. No solo es una preocupación inmediata ya que BitLocker no puede considerarse confiable para cifrar unidades, sino que la forma en que se ejecuta el exploit y la desaparición de sus archivos también plantean preguntas corporativas y/o políticas muy incómodas. Según se informa (), YellowKey también funciona en Windows Server 2022 y 2025, pero no en Windows 10.

BitLocker protege millones de máquinas en todo el mundo en hogares, empresas y gobiernos, especialmente porque viene habilitado por defecto en Windows 11. Hasta donde sabemos, una unidad no puede extraerse de la máquina Alice y abrirse en la máquina Bob porque las claves de cifrado están en el TPM de Alice, pero no es difícil simplemente robar un portátil, un mini-PC o incluso un ordenador de sobremesa.

Eclipse señala que utilizar una configuración completa de TPM y PIN no ayuda, ya que aparentemente tienen una variante para ese escenario para la cual no han publicado una PoC. También afirman que la vulnerabilidad está muy oculta y que "podrían haber ganado un dinero loco vendiendo esto, pero ninguna cantidad de dinero se interpondrá entre yo y mi determinación contra Microsoft".

En cuanto a GreenPlasma, se supone que otorga al atacante acceso completo a nivel de sistema (incluso superior al de administrador) manipulando el proceso CTFMon para colocar un objeto de sección de memoria diseñado —una porción de memoria que puede compartirse entre procesos o mapearse a un archivo— en cualquier sección del Administrador de Objetos de Windows a la que el usuario SYSTEM tenga acceso de escritura, saltándose los controles de acceso habituales.


Fuente:
TomsHardware