- info@sec4good.cz
- V Olšinách 2300/75, 100 00 Praha 10
Ein Sicherheitsforscher, der unter dem Pseudonym „Nightmare-Eclipse“ (auch bekannt als Chaotic Eclipse) auftritt und in der Vergangenheit mehrere umstrittene Windows-Zero-Day-Schwachstellen veröffentlicht hat, die auf Microsoft Defender und die Sicherheitsmechanismen von Windows abzielten, hat eine weitere interessante Entdeckung gemacht – einen BitLocker-Bypass mit dem Spitznamen YellowKey.
Der Forscher wurde zuvor durch die Veröffentlichung folgender Schwachstellen bekannt:
Diesmal konzentrierte er sich auf BitLocker und die Windows Recovery Environment (WinRE).
YellowKey ist kein klassischer Exploit vom Typ Buffer Overflow oder Kernel-RCE. Er greift weder die Kryptografie von BitLocker an noch „knackt“ er die AES-Verschlüsselung. Stattdessen nutzt er das Verhalten der Windows Recovery Environment aus, sodass das BitLocker-Volume nach dem Entsperren nicht erneut gesperrt wird.
Genau das ist das Interessanteste an der ganzen Sache – alles läuft über legitime Windows-Komponenten. Das gesamte Konzept wirkt daher eher wie eine versteckte Wiederherstellungs-/Debug-Funktion als wie eine herkömmliche Sicherheitslücke.
Die Sicherheitslücke funktioniert nur unter Windows 11 und Windows Server 2022/2025. Die für das Verhalten verantwortliche Komponente existiert nur im WinRE-Image, wobei eine ähnliche Komponente auch in normalen Windows-Systemen vorhanden ist, jedoch ohne diese Funktionalität.
Ein weiterer Forscher veröffentlichte anschließend einen Screenshot aus dem Reverse Engineering von RecEnv.exe, auf dem die Arbeit mit der Registrierung zu sehen ist:
RegGetValueW(
HKEY_LOCAL_MACHINE,
„SOFTWARE\\Microsoft\\RecoveryEnvironment“,
„FailRelock“,
…
);
Aus der veröffentlichten Analyse geht hervor, dass die Wiederherstellungsumgebung die erneute Sperrung des BitLocker-Volumes überspringt, wenn der Wert von „FailRelock“ gleich 1 ist.
Die Windows-Wiederherstellungsumgebung „sperrt“ die Festplatte nach dem Wiederherstellungsvorgang nicht erneut, sodass sie für die Shell zugänglich bleibt. Aus diesem Grund behauptet ein Teil der Community, dass der Mechanismus eher wie eine interne Service-/Debug-Funktion wirkt als wie ein gewöhnlicher Fehler.
Sollte sich die Schwachstelle als voll funktionsfähig bestätigen, kann sie vor allem für gestohlene Geräte oder Szenarien mit physischem Zugriff ein ernstes Risiko darstellen. YellowKey zeigt gleichzeitig einen interessanten Trend bei modernen Angriffen auf, bei denen nicht klassische Exploits oder Malware ausgenutzt werden, sondern die legitimen und vertrauenswürdigen Windows-Komponenten selbst.
