Cosa è successo?
Un ricercatore di sicurezza informatica, noto con gli pseudonimi "NightmareEclipse" (GitHub) e "Chaotic Eclipse" (Blogspot), già autore della pubblicazione delle vulnerabilità "RedSun", "UnDefend" e "BlueHammer", ha scoperto altre due falle di sicurezza in Windows. La vulnerabilità più grave, denominata "YellowKey", riguarda la cifratura del disco BitLocker. Inoltre, con il nome "MiniPlasma", ha individuato una vulnerabilità di escalation dei privilegi in un driver di Windows che può consentire agli aggressori di ottenere i privilegi SYSTEM.
I dettagli
La vulnerabilità di escalation dei privilegi "MiniPlasma" riguarda il "Windows Cloud Files Mini Filter". Microsoft aveva già pubblicato una patch nel 2020, identificata come CVE-2020-17103 (valore CVSS 7.0, livello di rischio "alto"). Non è chiaro se questa patch sia stata successivamente ritirata o se Microsoft semplicemente non l'abbia distribuita in modo capillare. Il fatto è che la vulnerabilità segnalata all'epoca dal Project Zero di Google può ancora essere sfruttata. Sia il nuovo exploit proof-of-concept su GitHub, sia il vecchio PoC di Google funzionano ancora, secondo quanto riportato, e consentono agli aggressori di ottenere privilegi SYSTEM.
Richiede maggiore attenzione la vulnerabilità "YellowKey" in BitLocker. In modo simile all'attacco recentemente reso noto basato su BitUnlocker, gli aggressori necessitano di accesso fisico locale al dispositivo bersaglio. La procedura è la seguente: su una comune chiavetta USB con un file system compatibile con Windows (FAT, FAT32, exFAT o NTFS) viene copiata la cartella "\System Volume Information\FsTx". Questa chiavetta viene collegata a un computer con BitLocker attivato. Tenendo premuto il tasto Shift durante l'avvio del sistema, è possibile avviare il dispositivo nell'ambiente di ripristino di Windows. Lì gli aggressori cliccano su "Restart" e tengono poi premuto il tasto Ctrl. Questo avvia una shell con accesso illimitato all'unità in realtà protetta da BitLocker.
L'attacco risulterebbe funzionare su Windows 11 nonché su Windows Server 2022 e 2025. L'ambiente di ripristino di Windows 10 non è interessato. Particolarmente critico è il fatto che le misure di protezione utili contro gli attacchi derivati da BitUnlocker – come la richiesta di un PIN prima della decifratura e la protezione TPM – non sembrano avere effetto contro "YellowKey".
L'esperto di sicurezza informatica Will Dormann ha testato l'exploit e ha pubblicato le sue osservazioni su Mastodon. Secondo quanto riportato, tenere premuto il tasto Ctrl non sarebbe affatto necessario per ottenere l'accesso alla shell protetta da BitLocker. Il funzionamento esatto non è ancora del tutto chiarito, ma molti indizi suggeriscono che, attraverso la cartella "\System Volume Information\FsTx", appartenente al Transactional NTFS, sia possibile sbloccare i contenuti di altre unità. Un commento di un utente sotto il post di Dormann segnala inoltre che, in un caso testato, l'unità C è stata sbloccata mentre l'unità D no – la falla non sembra dunque agire sempre allo stesso modo.
Degno di nota è anche un ulteriore riferimento nel post del blog del ricercatore: Microsoft avrebbe risolto silenziosamente, con gli aggiornamenti dell'ultimo Patch Day, la vulnerabilità "RedSun" precedentemente segnalata, che consente agli aggressori di ottenere diritti di amministratore, senza pubblicare una voce CVE corrispondente.
Analisi
Per gli operatori di infrastrutture di sicurezza e i responsabili IT queste scoperte sono rilevanti perché riguardano meccanismi di protezione centrali di Windows. BitLocker è considerato uno strumento standard per la protezione di dati sensibili sui dispositivi finali, ad esempio nelle aziende con postazioni di lavoro mobili o in ambienti con un elevato rischio di furto dell'hardware. Se questa protezione può essere aggirata con mezzi relativamente semplici – una chiavetta USB e l'accesso fisico – ciò riduce notevolmente il valore della cifratura, in particolare negli scenari in cui i dispositivi vengono persi o rubati.
Anche la vulnerabilità di escalation dei privilegi "MiniPlasma" va presa sul serio, poiché dimostra che una falla già nota dal 2020 e presumibilmente corretta risulta ancora sfruttabile. Ciò solleva interrogativi sul monitoraggio e sulla distribuzione degli aggiornamenti di sicurezza da parte di Microsoft e sottolinea che le aziende non dovrebbero fare affidamento solo sulla presenza di una patch, ma devono verificare regolarmente la sua effettiva efficacia.
Consigli pratici
- Limitare rigorosamente l'accesso fisico ai dispositivi, ad esempio attraverso controlli di accesso alle stanze con apparecchiature IT sensibili e mediante password BIOS/UEFI che impediscano l'avvio da supporti dati esterni.
- Disattivare o limitare, ove possibile, tramite policy o soluzioni hardware, le porte USB sui sistemi critici, qualora non vi sia una necessità operativa.
- Tenere sotto particolare osservazione l'ambiente di ripristino di Windows e le opzioni di avvio sui sistemi interessati (Windows 11, Server 2022/2025) e rendere tecnicamente più difficile l'accesso ad essi, ad esempio tramite apposite Group Policy.
- Verificare regolarmente lo stato delle patch invece di affidarsi esclusivamente all'installazione di un aggiornamento, in particolare per vulnerabilità più datate già segnalate come CVE-2020-17103.
- Installare tempestivamente gli aggiornamenti Windows più recenti, poiché secondo quanto riportato Microsoft avrebbe già risolto silenziosamente la falla "RedSun" con l'ultimo Patch Day.
- Negli ambienti particolarmente sensibili, valutare misure di sicurezza fisica aggiuntive, come la conservazione dell'hardware sensibile in cassette di deposito o armadi server protetti, per impedire fin dall'inizio l'accesso fisico non autorizzato.
Prospettive
Resta da vedere come reagirà Microsoft alle segnalazioni "YellowKey" e "MiniPlasma" e se verranno pubblicate tempestivamente patch ufficiali con relative voci CVE. Il fatto che il funzionamento esatto della falla di BitLocker non sia ancora del tutto compreso, secondo quanto riportato, lascia inoltre presagire ulteriori indagini da parte della ricerca sulla sicurezza. Fino ad allora, i responsabili IT non dovrebbero trascurare la protezione fisica dei propri dispositivi come livello di protezione complementare alla cifratura del disco, poiché è emerso che i soli meccanismi di protezione software non possono garantire una protezione completa.
