Мислехте, че BitLocker е най-силната налична защита? Честито, тя може да бъде заобиколена с буутлоудър от 2011 година
Оказва се, че най-силното криптиране на Windows въобще не е толкоз мощно.
Изследователи от SySS GmbH разкриха сериозна накърнимост във Windows Boot Manager, озаглавена BitPixie. Грешката разрешава заобикаляне на отбраната BitLocker и приемане на цялостен административен достъп до системата. Уязвимостта е обвързвана с PXE – механизмът за мрежово зареждане, който разрешава на компютъра да започва операционната система непосредствено по мрежата, без да употребява местен диск или флаш устройство.
Това зареждане поддържа специфичния режим „ Soft Reboot “ (меко рестартиране), при който машината не се изключва изцяло, а просто възобновява процеса на пускане, запазвайки избрани данни в RAM паметта. Именно тук се крие казусът: ключовете за криптиране на BitLocker остават в паметта, което дава опция за заобикаляне на отбраната. Уязвимостта визира необятен кръг от устройства, пуснати на пазара сред 2005 и 2022 година
Въпреки че Microsoft е отстранила грешката в по-новите версии на буутлоудъра, нападателите могат да се възползват от офанзивата за намаление, като изтеглят стар, уязвим буут управител. За да намерят ключа, те сканират паметта, търсейки сигнатурата „ -FVE-FS- “, която сочи началото на района на BitLocker. Извлеченият 32-байтов основен ключ изцяло отстранява отбраната от криптиране и разрешава достъп до криптирания дял.
Атаката се осъществя на два стадия: първо се приготвя особено основан BCD файл, приспособен за съответното устройство, след което той се изтегля посредством PXE, което дава опция да се заобиколи BitLocker даже при включена автентификация преди зареждане и PIN код.
Тестовете демонстрират, че офанзивата е сполучлива и против такива системи, в случай че нападателят има ПИН кода и вярно се оправя с другите разновидности разполагаем на ключовете в паметта. След като има VMK, атакуващият може непосредствено да трансформира сметките на криптирания диск благодарение на принадлежности като chntpw, като на процедура получава цялостен надзор.
Демонстрация на цялостна употреба на уязвимостта беше направена от откривателя Томас Ламберц на конференцията 38C3. Той сподели пряк достъп за четене и запис до дял от BitLocker, което удостовери действителността на опасността. Проблемът дава опция за ескалация на правата даже на локализирани консуматори с лимитирани благоприятни условия, в случай че те знаят ПИН кода от BitLocker.
Microsoft пусна актуализацията KB5025885 през месец май 2023 година, като размени остарелия документ Microsoft 2011 с новия Windows UEFI CA 2023. Този ход блокира изтеглянето на остарели версии на Boot Manager, като отстрани опцията за потребление на уязвимостта посредством подправяне.
Освен това актуализацията регистрира датата на приключване на валидността на остарелия документ, която изтича през 2026 година, като по този метод пази системите в бъдеще. Въпреки това, без да се конфигурира тази актуализация, устройствата остават уязвими към BitPixie и могат да бъдат изцяло компрометирани.
