USB 隨身碟利用 Windows BitLocker 新零日漏洞

YellowKey 漏洞的技術細節如下：

• 受影響系統： Windows 11 和 Windows Server 2022/2025。Windows 10 不受影響。
• 脆弱組件： 漏洞存在於 Windows 復原環境 (WinRE) 映像中的特定組件。在正常的 Windows 安裝中，存在一個同名組件，但其不具備觸發此繞過的功能。
• 攻擊機制：
  • 需要對目標機器進行物理存取。
  • 攻擊者將特製的「FsTx」檔案放置在 USB 隨身碟或目標磁碟的 EFI 分區內的 \System Volume Information 目錄中。
  • 隨後，系統會重新啟動進入 Windows 復原環境 (WinRE)。
  • 在進入 WinRE 的重新啟動過程中，按住 CTRL 鍵（或特定按鍵組合）會觸發此漏洞。
  • WinRE 利用事務性 NTFS (Transactional NTFS, TxF) 功能重播 NTFS 日誌，並從連接的磁碟中讀取惡意的 FsTx 日誌。
  • 這些日誌會修改或刪除 winpeshl.ini 檔案，該檔案通常控制 WinRE 啟動時執行的應用程式。
  • 由於缺少 winpeshl.ini 檔案，WinRE 會回退到啟動一個具有無限制存取權限的命令提示字元。
  • 在僅使用 TPM 的 BitLocker 配置中，磁碟區在啟動過程中會被 TPM 晶片透明解密，使得生成的命令殼層無需憑證即可存取已解密的磁碟區。
  • 此漏洞不適用於 TPM+PIN 環境，因為 PIN 提示發生在進入 WinRE 之前。
  • 據報導，USB 隨身碟上的漏洞利用檔案在使用後會消失。
• 研究人員觀點： 研究人員 Chaotic Eclipse (Nightmare-Eclipse) 認為，由於該組件僅在 WinRE 中存在且具有特定的漏洞利用功能，因此這可能是一個故意的「後門」。