O que aconteceu?
Um pesquisador de segurança da informação, que atua sob os nomes "NightmareEclipse" (GitHub) e "Chaotic Eclipse" (Blogspot) e que já havia divulgado as vulnerabilidades "RedSun", "UnDefend" e "BlueHammer", revelou duas novas falhas de segurança no Windows. A vulnerabilidade mais grave, chamada "YellowKey", afeta a criptografia de unidade BitLocker. Além disso, sob o nome "MiniPlasma", ele descobriu uma vulnerabilidade de escalonamento de privilégios em um driver do Windows que pode conceder privilégios de SYSTEM a atacantes.
Os detalhes
A vulnerabilidade de escalonamento de privilégios "MiniPlasma" afeta o "Windows Cloud Files Mini Filter". A Microsoft já havia publicado uma correção para isso em 2020, sob o identificador CVE-2020-17103 (valor CVSS 7.0, classificação de risco "alta"). Não está claro se essa correção foi posteriormente revogada ou se a Microsoft simplesmente não a distribuiu de forma abrangente. O fato é que a vulnerabilidade reportada na época pelo Project Zero do Google continua explorável. Tanto o novo exploit de prova de conceito publicado no GitHub quanto o antigo PoC do Google, segundo relatos, ainda funcionam e concedem privilégios de SYSTEM a atacantes.
Mais atenção é exigida pela vulnerabilidade "YellowKey" no BitLocker. De forma semelhante ao ataque baseado no BitUnlocker recentemente divulgado, os atacantes precisam de acesso físico local ao dispositivo alvo. O processo é o seguinte: em um pen drive simples com um sistema de arquivos compatível com Windows (FAT, FAT32, exFAT ou NTFS), copia-se a pasta "\System Volume Information\FsTx". Esse pen drive é então conectado a um computador com o BitLocker ativado. Mantendo a tecla Shift pressionada durante a inicialização do sistema, é possível inicializar o dispositivo no ambiente de recuperação do Windows. Lá, os atacantes clicam em "Reiniciar" e, em seguida, mantêm a tecla Ctrl pressionada. Isso inicia um shell com acesso irrestrito à unidade que deveria estar protegida pelo BitLocker.
O ataque supostamente funciona no Windows 11, bem como no Windows Server 2022 e 2025. O ambiente de recuperação do Windows 10 não é afetado. Particularmente preocupante: medidas de proteção que ajudam contra os ataques derivados do BitUnlocker — como a exigência de um PIN antes da descriptografia e a proteção via TPM — aparentemente não são eficazes contra o "YellowKey".
O especialista em segurança da informação Will Dormann testou o exploit e publicou suas observações no Mastodon. Segundo ele, manter a tecla Ctrl pressionada nem sequer é estritamente necessário para obter acesso ao shell protegido pelo BitLocker. O funcionamento exato ainda não está totalmente esclarecido no momento, mas muito indica que, através da pasta "\System Volume Information\FsTx", pertencente ao Transactional NTFS, é possível desbloquear o conteúdo de outras unidades. Um relato de usuário nos comentários da publicação de Dormann também indica que, em um caso testado, a unidade C foi liberada, mas a unidade D não — sugerindo que a falha não se manifesta da mesma forma em todos os casos.
Também é digno de nota outro ponto mencionado na publicação do blog do pesquisador: a Microsoft aparentemente corrigiu silenciosamente a vulnerabilidade "RedSun", anteriormente reportada e que concede privilégios de administrador a atacantes, nas atualizações do último Patch Tuesday — sem publicar uma entrada CVE correspondente.
Análise
Para operadores de infraestrutura de segurança e responsáveis de TI, essas descobertas são relevantes porque afetam mecanismos centrais de proteção do Windows. O BitLocker é considerado uma ferramenta padrão para proteger dados sensíveis em dispositivos finais, por exemplo, em empresas com postos de trabalho móveis ou em ambientes com alto risco de furto de hardware. Se essa proteção pode ser contornada com meios comparativamente simples — um pen drive e acesso físico —, isso reduz consideravelmente o valor da criptografia, especialmente em cenários em que dispositivos são perdidos ou roubados.
A vulnerabilidade de escalonamento de privilégios "MiniPlasma" também deve ser levada a sério, pois demonstra que uma falha já conhecida desde 2020 e supostamente corrigida continua, aparentemente, explorável. Isso levanta questões sobre o acompanhamento e a distribuição de atualizações de segurança por parte da Microsoft e reforça que as empresas não devem confiar apenas na existência de uma correção, mas devem verificar regularmente sua eficácia real.
Dicas práticas
- Restringir consistentemente o acesso físico aos dispositivos, por exemplo, por meio de controles de acesso a salas com equipamentos de TI sensíveis e de senhas de BIOS/UEFI que impeçam a inicialização a partir de dispositivos de armazenamento externos.
- Desativar ou restringir, sempre que possível, as portas USB em sistemas críticos por meio de política ou solução de hardware, quando não houver necessidade operacional.
- Monitorar especialmente o ambiente de recuperação do Windows e as opções de inicialização em sistemas afetados (Windows 11, Server 2022/2025) e dificultar tecnicamente o acesso a eles, por exemplo, por meio de diretivas de grupo apropriadas.
- Verificar regularmente o status das correções em vez de confiar apenas na instalação de uma atualização — especialmente no caso de vulnerabilidades mais antigas já reportadas, como a CVE-2020-17103.
- Instalar prontamente as atualizações atuais do Windows, já que, segundo o relatório, a Microsoft já corrigiu silenciosamente a falha "RedSun" no último Patch Tuesday.
- Em ambientes especialmente sensíveis, avaliar medidas adicionais de segurança física, como o armazenamento de hardware sensível em cofres de depósito ou armários de servidores protegidos, para impedir desde o início o acesso físico não autorizado.
Perspectivas
Resta saber como a Microsoft reagirá aos relatos sobre "YellowKey" e "MiniPlasma" e se correções oficiais com as respectivas entradas CVE serão publicadas em breve. O fato de o funcionamento exato da falha do BitLocker ainda não estar totalmente compreendido, segundo os relatos, também sugere que novas investigações por parte da pesquisa de segurança devem ocorrer. Até lá, os responsáveis de TI não devem negligenciar a proteção física de seus dispositivos como uma camada de proteção complementar à criptografia de disco, já que ficou demonstrado que mecanismos de proteção baseados apenas em software não conseguem garantir proteção completa.
