¿Qué ha ocurrido?
Un investigador de seguridad informática que se presenta bajo los nombres "NightmareEclipse" (GitHub) y "Chaotic Eclipse" (Blogspot), y que ya había publicado las vulnerabilidades "RedSun", "UnDefend" y "BlueHammer", ha destapado dos nuevas vulnerabilidades de seguridad en Windows. La más grave, denominada "YellowKey", afecta al cifrado de unidades BitLocker. Además, bajo el nombre "MiniPlasma" ha descubierto una vulnerabilidad de escalada de privilegios en un controlador de Windows que puede otorgar a los atacantes privilegios de SYSTEM.
Los detalles
La vulnerabilidad de escalada de privilegios "MiniPlasma" afecta al "Windows Cloud Files Mini Filter". Microsoft ya había publicado un parche para esta en 2020 bajo el identificador CVE-2020-17103 (puntuación CVSS de 7.0, clasificación de riesgo "alto"). No está claro si ese parche se retiró posteriormente o si Microsoft simplemente no lo distribuyó de forma generalizada. Lo cierto es que la vulnerabilidad reportada en su momento por Project Zero de Google sigue siendo explotable. Tanto el nuevo exploit de prueba de concepto publicado en GitHub como el antiguo PoC de Google siguen funcionando, según se indica, y proporcionan a los atacantes privilegios de SYSTEM.
Mayor atención requiere la vulnerabilidad "YellowKey" en BitLocker. De forma similar al ataque basado en BitUnlocker dado a conocer recientemente, los atacantes necesitan acceso físico local al dispositivo objetivo. El procedimiento es el siguiente: se copia la carpeta "\System Volume Information\FsTx" en una memoria USB sencilla con un sistema de archivos compatible con Windows (FAT, FAT32, exFAT o NTFS). Esta memoria se conecta a un equipo con BitLocker activado. Manteniendo pulsada la tecla Shift durante el arranque del sistema, es posible iniciar el dispositivo en el entorno de recuperación de Windows. Allí, los atacantes hacen clic en "Reiniciar" y a continuación mantienen pulsada la tecla Ctrl. Esto inicia una shell con acceso sin restricciones a la unidad que en teoría está protegida por BitLocker.
Según se indica, el ataque funciona en Windows 11, así como en Windows Server 2022 y 2025. El entorno de recuperación de Windows 10 no se ve afectado. Especialmente preocupante es el hecho de que las medidas de protección que ayudan frente a los ataques derivados de BitUnlocker —como la solicitud de un PIN antes del descifrado y la protección mediante TPM— aparentemente no son eficaces frente a "YellowKey".
El experto en seguridad informática Will Dormann probó el exploit y publicó sus observaciones en Mastodon. Según él, mantener pulsada la tecla Ctrl no es en absoluto necesario para obtener acceso a la shell protegida por BitLocker. El funcionamiento exacto todavía no se ha aclarado por completo, pero todo apunta a que a través de la carpeta "\System Volume Information\FsTx", perteneciente a Transactional NTFS, es posible desbloquear el contenido de otras unidades. Un comentario de un usuario bajo la publicación de Dormann señala además que, en un caso probado, se liberó la unidad C, pero no la unidad D, lo que sugiere que la vulnerabilidad no actúa siempre de la misma manera.
Cabe destacar también otro dato mencionado en la entrada del blog del investigador: Microsoft, según parece, ha corregido de forma silenciosa la vulnerabilidad "RedSun" —reportada anteriormente y que otorgaba privilegios de administrador a los atacantes— con las actualizaciones del último martes de parches, sin publicar la correspondiente entrada CVE.
Contexto
Para los operadores de infraestructura de seguridad y los responsables de TI, estos hallazgos son relevantes porque afectan a mecanismos de protección centrales de Windows. BitLocker se considera la herramienta estándar para proteger datos sensibles en dispositivos finales, por ejemplo en empresas con puestos de trabajo móviles o en entornos con un alto riesgo de robo de hardware. Si esta protección puede eludirse con medios relativamente sencillos —una memoria USB y acceso físico—, el valor del cifrado se ve considerablemente relativizado, especialmente en escenarios en los que los dispositivos se pierden o son robados.
La vulnerabilidad de escalada de privilegios "MiniPlasma" también debe tomarse en serio, ya que demuestra que una vulnerabilidad conocida desde 2020 y supuestamente parcheada sigue siendo explotable. Esto plantea interrogantes sobre el seguimiento y la distribución de las actualizaciones de seguridad por parte de Microsoft, y subraya que las empresas no deben confiar únicamente en la existencia de un parche, sino que deben verificar periódicamente su eficacia real.
Consejos prácticos
- Restringir de forma consecuente el acceso físico a los dispositivos, por ejemplo mediante controles de acceso a salas con equipamiento informático sensible y contraseñas de BIOS/UEFI que impidan el arranque desde soportes de datos externos.
- Desactivar o restringir en la medida de lo posible los puertos USB en sistemas críticos mediante políticas o soluciones de hardware, cuando no exista necesidad operativa.
- Vigilar especialmente el entorno de recuperación de Windows y las opciones de arranque en los sistemas afectados (Windows 11, Server 2022/2025), y dificultar técnicamente el acceso a estos, por ejemplo mediante directivas de grupo adecuadas.
- Verificar periódicamente el estado de los parches en lugar de confiar únicamente en la instalación de una actualización, especialmente en el caso de vulnerabilidades más antiguas ya reportadas, como CVE-2020-17103.
- Instalar sin demora las actualizaciones actuales de Windows, ya que, según se informa, Microsoft ya ha corregido silenciosamente la vulnerabilidad "RedSun" en el último martes de parches.
- En entornos especialmente sensibles, considerar medidas de seguridad física adicionales, como el almacenamiento de hardware sensible en cajas fuertes con ranura de depósito o armarios de servidores asegurados, para impedir desde el principio el acceso físico no autorizado.
Perspectivas
Queda por ver cómo reaccionará Microsoft ante los informes sobre "YellowKey" y "MiniPlasma", y si se publicarán parches oficiales con las correspondientes entradas CVE en un plazo breve. El hecho de que, según los informes, el funcionamiento exacto de la vulnerabilidad de BitLocker aún no se comprenda por completo hace prever además nuevas investigaciones por parte de la comunidad de seguridad informática. Hasta entonces, los responsables de TI no deberían descuidar la protección física de sus dispositivos como capa de seguridad complementaria al cifrado de unidades, ya que ha quedado demostrado que los mecanismos de protección basados únicamente en software no pueden garantizar una protección completa.
