YellowKey и BitUnlocker: обход BitLocker, который выглядит как бэкдор
YellowKey и BitUnlocker: два независимых обнаружения одного и того же класса уязвимости — граница доверия WinRE с авторазблокировкой эксплуатируется для обхода полнодискового шифрования BitLocker. Одна найдена внешним исследователем, называющим это бэкдором; другая — собственной командой STORM от Microsoft, исправлена в четырех CVE.
Две стороны одной монеты
Менее чем за год две команды, подошедшие с совершенно разных направлений, пришли к одному пугающему выводу: стандартная TPM-защита BitLocker может быть тихо обойдена через среду восстановления Windows (WinRE), давая любому с физическим доступом полный доступ к командной строке на «зашифрованном» диске.
| Аспект | BitUnlocker (Microsoft STORM) | YellowKey (Nightmare-Eclipse) |
|---|---|---|
| Кто нашел | Команда STORM Microsoft | Независимый исследователь Nightmare-Eclipse |
| Раскрытие | Black Hat USA 2025 / DEF CON 33 (Авг 2025) | GitHub / публичное раскрытие (Май 2026) |
| Исправление | Пач-вторник июля 2025 (4 CVE) | На момент публикации патча нет |
| Вектор атаки | Многошаговая манипуляция BCD + PBR | Одна USB-флешка, зажатый CTRL при загрузке WinRE |
| Затрагивает | Windows 10/11 + Server | Windows 11 + Server 2022/2025 |
Самое тревожное? Ни одна не требует взлома AES или брутфорса ключа восстановления. Обе просто проходят в дверь, которая осталась открытой.
BitUnlocker: Microsoft находит свои же уязвимости
Команда STORM (Security Testing and Offensive Research at Microsoft) представила BitUnlocker на Black Hat USA 2025 и DEF CON 33. Они обнаружили четыре различных вектора атаки в WinRE, все исправлены пач-вторником июля 2025:
CVE-2025-48804: SDI-инъекция
Процесс загрузки WinRE использует файл Boot.sdi (System Deployment Image). Исследователи обнаружили, что можно добавить вредоносный образ Windows к легитимному Boot.sdi. Поскольку WinRE не проверяет WIM после SDI-заголовка, непроверенный образ загружается как доверенный, наследуя привилегии авторазблокировки BitLocker.
CVE-2025-48800: Злоупотребление tttracer.exe
Плановая операция «Офлайн-сканирование» WinRE запускает антивирусное сканирование зашифрованных дисков. Утилита tttracer.exe (Time Travel Debugger) — легитимный бинарник Microsoft — может быть использована для прокси-исполнения cmd.exe без триггера механизма повторной блокировки BitLocker. Командная строка наследует особые разрешения WinRE на доступ к зашифрованным дискам.
CVE-2025-48003: Горячая клавиша SetupPlatform.exe
SetupPlatform.exe — компонент, остающийся в реестре доверенных приложений после обновления Windows — регистрирует горячую клавишу Shift+F10, запускающую командную строку. Критически важно: это не запускает повторную блокировку BitLocker. Атакующий, способный влиять на ReAgent.xml, может эксплуатировать это для постоянного доступа.
CVE-2025-48818: Полная дешифровка через PBR
Жемчужина. Манипулируя хранилищем BCD (Boot Configuration Data), атакующие могут перенаправить поток Push Button Reset (PBR) WinRE. Файл ResetSession.xml включает директиву DecryptVolume. Разместив вредоносное BCD-хранилище на незащищенном разделе восстановления, атакующий заставляет PBR полностью дешифровать защищенный BitLocker системный раздел.
Всем четырем CVE присвоен CVSS v3.1 6.8 (Medium) — из-за требования физического доступа. Но как знает любой практик безопасности, «требуется физический доступ» — слабое утешение, когда ноутбук украли из кофейни.
YellowKey: тот, что взорвал интернет
В мае 2026 года исследователь Nightmare-Eclipse выложил YellowKey на GitHub с описанием, мгновенно ставшим вирусным:
«Одна из самых безумных находок, которые я делал — почти чувствуется как бэкдор, но кто знает, может я просто безумен.»
Эксплойт в 5 шагов
- Создайте папку
FsTxна USB-флешке по путиUSB:\System Volume Information\FsTx - Вставьте USB в защищенный BitLocker Windows 11
- Зажмите SHIFT и нажмите Перезагрузка (загрузится WinRE)
- При перезагрузке отпустите SHIFT и зажмите CTRL
- Появится командная строка с полным, неограниченным доступом к зашифрованному BitLocker диску
Вот и все. Никакого сложного пейлоада. Никакого криптографического взлома. Никакого ключа восстановления. Просто USB-флешка и правильный тайминг нажатия клавиш.
Почему это работает
Компонент, отвечающий за такое поведение, существует только внутри образов WinRE. Он проверяет флаг FailRelock в конфигурационном файле (RecoverySimulation.ini). Когда он установлен, WinRE после разблокировки BitLocker диска просто никогда его не блокирует повторно.
Файл RecoverySimulation.ini на USB активирует «тестовый режим» для инструментов восстановления WinRE:
[Simulation]Active=YesFailRelock=1Как только тестовый режим активен, cmd.exe из WinRE наследует разблокированное состояние — и читает и пишет на зашифрованный диск так, будто BitLocker не существует.
Nightmare-Eclipse продемонстрировал, что это работает на Windows 11 и Server 2022/2025, но не на Windows 10, что говорит о том, что уязвимый код был введен в версии WinRE, поставляемой с Windows 11.
Бэкдор или баг? Доказательства
Что делает YellowKey особенно тревожным — это паттерн улик, указывающих на намеренность:
| Наблюдение | Что значит |
|---|---|
Флаг отладки FailRelock существует только в WinRE, а не в обычном компоненте Windows с тем же именем |
Средство тестирования было поставлено в продакшен намеренно |
| То же имя бинарника в обычном Windows без функционала обхода | Это не просто остаток отладки — он был специально помещен в WinRE |
| Только Windows 11+ (не Windows 10) | Код был введен в новом образе WinRE для Windows 11 |
| Нет документации, инструментов конфигурации, публичных ссылок | Обычные отладочные флаги документируются внутренне — этот выглядит намеренно скрытым |
The Register цитирует экспертов по безопасности, которые говорят, что «невозможно проверить» по имеющейся информации, является ли это намеренным бэкдором. Но косвенные улики, как минимум, достаточно подозрительны, чтобы потребовать детального объяснения от Microsoft.
Сравнение: YellowKey vs BitUnlocker
| Аспект | BitUnlocker | YellowKey |
|---|---|---|
| Сложность | Высокая — многошаговая BCD, PBR, XML манипуляция | Низкая — USB + комбинация клавиш |
| Время выполнения | ~10-30 минут | ~2 минуты |
| Постоянство | Может навсегда дешифровать диск | Только сессионный доступ |
| CVE | CVE-2025-48800, 48003, 48804, 48818 | Без CVE |
| Статус патча | Исправлено в июле 2025 | Не исправлено |
| Windows 10 | Да | Нет |
| Подозрение на бэкдор | Нет (стандартное раскрытие уязвимости) | Да (исследователь утверждает намеренность) |
Они дополняют друг друга: BitUnlocker показывает, что даже собственная команда безопасности Microsoft нашла системные проблемы доверия в WinRE, а YellowKey предполагает, что проблема может быть хуже, чем кто-либо думал — возможно, по дизайну.
Почему TPM-only недостаточно
Стандартная конфигурация BitLocker на современных Windows-устройствах использует только TPM. TPM проверяет целостность загрузки (регистры PCR) и автоматически освобождает ключ шифрования при нормальной загрузке. Это обеспечивает бесшовный пользовательский опыт — не надо вводить пароль при каждой загрузке.
Но это также значит: любой, кто может загрузить устройство, может получить ключ.
| Режим защиты | Стойкость к YellowKey | Пользовательский опыт |
|---|---|---|
| Только TPM | Сломан | Лучший (без пароля) |
| TPM + PIN | Устойчив | Хороший (PIN при загрузке) |
| TPM + USB-ключ | Устойчив | Плохой (нужен USB) |
| Только пароль | Устойчив | Плохой (пароль каждый раз) |
| Ключ восстановления | N/A | Только для экстренных случаев |
YellowKey работает потому, что TPM-only авторазблокировка доверяет WinRE неявно. Когда вы добавляете PIN, TPM не выпустит ключ без PIN — даже в WinRE. Это ломает цепочку атаки.
Защита: стратегии смягчения
Немедленно (без перезагрузки)
Для YellowKey — пока Microsoft не выпустит патч:
- Включите TPM + PIN —
manage-bde -protectors -add C: -TPMAndPINот админской командной строки - Установите пароль BIOS/UEFI — предотвращает манипуляции с выбором загрузочного устройства
- Отключите внешнюю загрузку — настройте UEFI на загрузку только с внутреннего диска
- Отключите WinRE — (не рекомендуется для продакшена, но как крайняя мера)
reagentc /disable
Долгосрочно (организационная политика)
| Контроль | Реализация |
|---|---|
| Групповая политика BitLocker | Включите Require additional authentication at startup → Configure TPM startup PIN: Require startup PIN with TPM |
| Secure Boot + DBX | Убедитесь, что Secure Boot включен с последним списком отзыва (dbx) |
| Windows Defender System Guard | Включите System Guard Secure Launch (защита SMM) |
| Обновление WinRE | Применяйте последние обновления стека обслуживания WinRE (KB5034231 и новее) |
| BitLocker Network Unlock | Для доменных машин используйте Network Unlock для избежания TPM-ловушек |
Обнаружение
Надежного лог-основанного обнаружения YellowKey нет, так как эксплойт работает целиком внутри WinRE до загрузки ОС. Но:
- Мониторинг поведения до загрузки: устройства, неожиданно загружающиеся в WinRE, должны вызывать расследование
- Аудит физического доступа: отслеживайте устройства, которые были вне поля зрения
- Логи USB-загрузки: прошивка UEFI может логировать выбор загрузочных устройств
Что это значит для модели угроз BitLocker
Традиционная модель угроз BitLocker:
Атакующий с физическим доступом: защищены, если у него нет ключа восстановления или возможности брутфорса TPM + PIN.
Обновленная модель после YellowKey:
Атакующий с физическим доступом к Windows 11+: полный компрометация за ~2 минуты с USB-флешкой и зажатой клавишей.
Это сдвиг парадигмы. Это значит:
- TPM-only BitLocker на Windows 11 — декоративен против решительного физического атакующего
- Кража ноутбука = утечка данных, если не включен TPM+PIN или более сильные меры
- Корпоративные развертывания, полагающиеся на стандартную конфигурацию BitLocker, уязвимы — эра «поставил галочку и забыл» окончена
Самое пугающее — асимметрия: атакующему нужна только USB-флешка и две минуты физического доступа. Защитнику нужно раскатывать политики, обучать пользователей и проверять каждое устройство на включенный TPM+PIN.
Таймлайн раскрытия
| Дата | Событие |
|---|---|
| 2024-2025 | Команда STORM Microsoft исследует поверхности атаки WinRE |
| 2025-07 | Microsoft патчит CVE BitUnlocker в июльском пач-вторнике |
| 2025-08 | STORM представляет BitUnlocker на Black Hat USA и DEF CON 33 |
| 2026-05-12 | Nightmare-Eclipse публикует YellowKey на GitHub |
| 2026-05-13 | The Register подтверждает YellowKey с экспертами |
| 2026-05-13 | Сообщество подтверждает механизм флага FailRelock |
| 2026-05-14 | Настоящая статья — от Microsoft нет официального патча |
Более широкая картина: паттерн отказов доверия WinRE
YellowKey — не изолированный инцидент:
| Уязвимость | Год | Компонент | Влияние |
|---|---|---|---|
| CVE-2024-20666 | 2024 | Secure Boot / BitLocker | Обход функции безопасности |
| CVE-2025-48800 | 2025 | WinRE / tttracer | Обход BitLocker через офлайн-сканирование |
| CVE-2025-48003 | 2025 | WinRE / SetupPlatform | Обход BitLocker через горячую клавишу |
| CVE-2025-48804 | 2025 | WinRE / Boot.sdi | Обход верификации загрузки |
| CVE-2025-48818 | 2025 | WinRE / PBR | Полная дешифровка BitLocker |
| YellowKey | 2026 | WinRE / отладочный флаг | Обход BitLocker одной клавишей |
Поверхность атаки WinRE/WinPE снова и снова оказывается самым слабым звеном в цепи BitLocker. Архитектурное решение Microsoft доверять WinRE неявно — без криптографической аттестации того, что WinRE делает — создает фундаментальное дизайнерское противоречие: как позволить восстановление без злоупотребления восстановлением?
Пока что каждый ответ провалился.
Заключение
YellowKey и BitUnlocker представляют одну и ту же фундаментальную проблему: привилегированный доступ WinRE к дискам BitLocker не может быть адекватно защищен политиками ПО в одиночку, когда атакующий с физическим доступом может манипулировать самой средой восстановления.
Если вы отвечаете за безопасность Windows в вашей организации:
Проверьте конфигурацию BitLocker сегодня. Если TPM+PIN не включен, считайте, что ваши зашифрованные данные доступны любому с отверткой и USB-флешкой.
Обучите пользователей. Украденный ноутбук — это не просто потеря железа. С YellowKey это гарантированная утечка данных, если используется TPM-only.
Следите за ответом Microsoft. Если пач-вторник пройдет без исправления YellowKey, теорию «бэкдора» станет значительно сложнее отвергать.
References
- YellowKey GitHub
- The Register Coverage
- Microsoft BitUnlocker Blog Post
- CVE-2025-48800 (MSRC)
- CVE-2025-48003 (MSRC)
- CVE-2025-48804 (MSRC)
- CVE-2025-48818 (MSRC)
- Saltt Tech Analysis
Инфографика
Рисунок 1: Поток эксплойта YellowKey — вставка USB → загрузка WinRE → зажатый CTRL → неограниченный доступ к зашифрованному диску