1. Главная
  2. Новости
  3. BitLocker обошли через восстановление Windows - Microsoft дала временную защиту от YellowKey

BitLocker обошли через восстановление Windows - Microsoft дала временную защиту от YellowKey

BitLocker обошли через восстановление Windows - Microsoft дала временную защиту от YellowKey

Microsoft подтвердила уязвимость YellowKey и присвоила ей идентификатор CVE-2026-45585. Проблема позволяет атакующему с физическим доступом к устройству обойти защиту BitLocker Device Encryption и получить доступ к зашифрованным данным. Уязвимость получила 6,8 балла по CVSS, а рабочий PoC был опубликован еще до выхода полноценного исправления.

YellowKey эксплуатирует особенности Windows Recovery Environment. По описанию исследователя Chaotic Eclipse, для атаки можно подготовить специальные FsTx-файлы на USB-накопителе или в EFI-разделе, а затем перезагрузить систему в WinRE. Вместо стандартной среды восстановления атакующий может получить командную оболочку и доступ к содержимому диска, который уже расшифрован BitLocker.

Microsoft пока не выпустила полноценный патч и предложила временную меру защиты: отключить автоматический запуск FsTx Auto Recovery Utility в WinRE. Для этого администраторам нужно изменить образ среды восстановления и удалить autofstx.exe из значения BootExecute в разделе Session Manager. Такой подход не исправляет первопричину, но мешает эксплойту запускать уязвимый компонент при загрузке WinRE.

Второй вариант защиты - отказаться от конфигурации BitLocker в режиме TPM-only и включить TPM+PIN, чтобы для расшифровки диска при старте требовался PIN-код. Однако сам Chaotic Eclipse утверждает, что YellowKey может обходить и такую конфигурацию, хотя PoC для этого сценария он не публиковал.

Аналитик Уилл Дорманн объясняет, что проблема связана с Transactional NTFS Replay: эксплойт может удалять файл winpeshl.ini, который определяет поведение WinRE. В результате восстановительная среда открывает не штатный интерфейс, а командную строку на системе с уже разблокированным BitLocker-разделом.

YellowKey особенно опасен для сценариев с потерянными, украденными или временно оставленными без присмотра ноутбуками. Это не удаленный взлом через интернет, но именно BitLocker должен защищать данные в таких ситуациях. Пока Microsoft готовит полноценное исправление, администраторам стоит проверить конфигурацию WinRE, режим BitLocker и применить предложенные mitigations на устройствах, где физический доступ к машине нельзя считать надежно контролируемым.

РЕКОМЕНДУЕМ

похожие материалы

Стрелочка
Стрелочка
В ЕАЭС 15 октября провели первую пилотную перевозку с электронной накладной eCMR
В ЕАЭС 15 октября провели первую пилотную перевозку с электронной накладной eCMR

Эксперимент по внедрению электронных международных транспортных накладных (eCMR) в ЕАЭС выходит на новый этап: первой реальной пилотной перевозке с использованием цифрового документа дан старт сегодня, 15 октября, по маршруту Казахстан — Россия.

подробнее Стрелочка
В криптокошельки Ledger внедряли шпионские чипы: компания остановила продажи в Азии после многомиллионных хищений
В криптокошельки Ledger внедряли шпионские чипы: компания остановила продажи в Азии после многомиллионных хищений

Производитель аппаратных криптокошельков Ledger приостановил продажи через авторизованных посредников в Юго-Восточной Азии и Гонконге после обнаружения модифицированных устройств со скрытыми электронными компонентами.

подробнее Стрелочка