Se han descubierto dos nuevas vulnerabilidades de día cero en Windows BitLocker que aún no han sido parcheadas. La más grave, denominada YellowKey, permite evadir completamente el cifrado de BitLocker, otorgando a los atacantes acceso total y sin restricciones a las unidades del sistema bloqueadas. Asimismo, se ha identificado otra falla de escalada de privilegios llamada GreenPlasma.

Dos nuevas vulnerabilidades de día cero de Windows BitLocker, aún sin parchear, comprometen significativamente el ecosistema de Microsoft. Los exploits incluyen un bypass crítico del cifrado de BitLocker llamado YellowKey y un fallo de escalada de privilegios denominado GreenPlasma.

El más crítico de estos fallos, apodado "YellowKey", permite eludir totalmente el cifrado de BitLocker, otorgando a los atacantes acceso completamente irrestricto a las unidades del sistema bloqueadas.

Tras el reciente Patch Tuesday de Microsoft, un investigador frustrado escaló una disputa en curso publicando dos graves exploits de día cero.

El investigador expresó su extrema insatisfacción con la forma en que Microsoft gestionó revelaciones anteriores, amenazando con más interrupciones y liberando el código como una represalia directa. Este lanzamiento inesperado deja vulnerables a millones de dispositivos gubernamentales y empresariales.

Además, afirma que estas vulnerabilidades son puertas traseras colocadas intencionadamente, acreditando activamente a grupos de amenazas internos de Microsoft como MSTIC y GHOST en una ostentación pública muy inusual.

Bypass de BitLocker YellowKey

YellowKey es un exploit crítico que permite a los actores de amenazas con acceso físico eludir totalmente el cifrado de disco completo de BitLocker en cuestión de minutos. La vulnerabilidad reside dentro del Entorno de Recuperación de Windows (WinRE) y afecta exclusivamente a Windows 11, Windows Server 2022 y Windows Server 2025.

Windows 10 no se ve afectado debido a diferencias estructurales en su arquitectura de recuperación. Los atacantes solo necesitan copiar una carpeta llamada específicamente FsTx en un pendrive USB compatible y conectarlo a la máquina objetivo.

Alternativamente, los atacantes pueden extraer físicamente la unidad objetivo, copiar los archivos del exploit directamente en la partición EFI y volver a montar la unidad para lograr exactamente el mismo resultado.

Al reiniciar el sistema en el agente de recuperación mediante combinaciones de teclas específicas, el exploit aprovecha los componentes de WinRE para generar una shell con acceso irrestricto al volumen protegido.

Escalada de Privilegios GreenPlasma

Junto al bypass de cifrado, el hacker publicó un código parcial de prueba de concepto para GreenPlasma, una vulnerabilidad grave de escalada de privilegios locales. Este fallo específico explota el servicio Windows CTFMON mediante la creación de secciones de memoria arbitrarias.

Un atacante sin privilegios puede crear estos objetos de sección de memoria dentro de estructuras de directorios que normalmente solo son escribibles por la cuenta de sistema administrativa (SYSTEM). En consecuencia, los actores maliciosos pueden manipular servicios confiables de Windows y controladores en modo kernel para ejecutar comandos no autorizados.

Aunque el código público actual activa un aviso de Control de Cuentas de Usuario y requiere una optimización adicional para lograr un ataque completamente silencioso, representa un desafío sustancial para los defensores de la seguridad.

Si se encadena completamente con vectores de acceso inicial, esto podría permitir un acceso persistente y total al núcleo del sistema operativo.

Componente de Amenaza	Tipo de Vulnerabilidad	Sistemas Afectados	Artefactos Clave
YellowKey	Bypass de Cifrado	Windows 11, Server 2022/2025	Directorio System Volume Information\FsTx
YellowKey	Exploit de WinRE	Windows 11, Server 2022/2025	Manipulación de bootmgfw.efi
GreenPlasma	Escalada de Privilegios	Windows 11, Server 2022/2025	Creación de Sección Arbitraria de CTFMON
GreenPlasma	Manipulación de Memoria	Windows 11, Server 2022/2025	Objetos de directorio escribibles por SYSTEM

Microsoft aún no ha emitido un parche oficial para estos exploits de día cero recién lanzados. Los investigadores de seguridad independientes que analizan la amenaza YellowKey recomiendan encarecidamente implementar un PIN de BitLocker personalizado y una contraseña de BIOS robusta como mitigaciones defensivas inmediatas.

Aunque Nightmare-Eclipse afirma que la vulnerabilidad central elude las configuraciones de TPM y PIN, la prueba de concepto pública actual carece de esa capacidad de ejecución.

Los equipos de seguridad deben monitorear activamente el acceso físico a los endpoints de hardware y restringir las modificaciones no autorizadas de WinRE hasta que Microsoft resuelva oficialmente la situación.

Fuentes:
https://cybersecuritynews.com/windows-bitlocker-0-day-vulnerability/