- YellowKey của Chaotic Eclipse cho phép truy cập ổ đĩa bị khóa bằng BitLocker chỉ với các tệp trên USB và Windows Recovery Environment
- Trong thử nghiệm của Tom's Hardware, quy trình sao chép tệp
FsTx vào System Volume Information, sau đó Shift+Restart và giữ phím Control, đã hoạt động
- Sau khi khởi động lại, hệ thống vào dòng lệnh đặc quyền nâng cao mà không có câu hỏi hay menu nào, và có thể truy cập toàn bộ ổ bị khóa bởi BitLocker mà không cần nhập khóa
- Cách chuyển ổ của Alice sang thiết bị của Bob để mở có vẻ khó khả thi, nhưng nếu đánh cắp chính thiết bị đó thì có thể tận dụng nguyên TPM mục tiêu, làm rủi ro tăng cao
- Theo SecurityOnline, YellowKey hoạt động cả trên Windows Server 2022·2025 nhưng không hoạt động trên Windows 10
Quy trình tấn công của YellowKey và hành vi được quan sát
- Chaotic Eclipse đã công bố YellowKey, một zero-day có thể truy cập ổ đĩa bị khóa bằng BitLocker
- Tom's Hardware xác nhận rằng quy trình sao chép một số tệp vào USB rồi khởi động lại vào Windows Recovery Environment thực sự hoạt động
- Quy trình này là giành quyền ghi vào
System Volume Information, sao chép thư mục FsTx và nội dung của nó vào đó, rồi vào môi trường khôi phục bằng Shift+Restart và liên tục giữ phím Control
- Sau khi khởi động lại, hệ thống đi vào dòng lệnh đặc quyền nâng cao mà không có câu hỏi hay menu nào, và có thể truy cập toàn bộ ổ đĩa đang bị khóa bằng BitLocker mà không cần nhập khóa
- Các tệp được dùng trong cuộc tấn công đã biến mất khỏi USB sau một lần sử dụng, và Tom's Hardware xem đây là hành vi giống như cửa hậu
Phạm vi ảnh hưởng và rủi ro đánh cắp vật lý
- YellowKey tạo ra rủi ro tức thời cho các môi trường đang tin tưởng BitLocker làm phương tiện mã hóa ổ đĩa
- BitLocker bảo vệ hàng triệu thiết bị trong môi trường gia đình, doanh nghiệp và chính phủ, đặc biệt được bật mặc định trên Windows 11
- Theo phạm vi Tom's Hardware xác nhận, việc chuyển ổ từ thiết bị của Alice sang thiết bị của Bob để mở có vẻ không thể thực hiện, vì khóa mã hóa nằm trong TPM của thiết bị Alice
- Tuy nhiên, nếu đánh cắp chính laptop, mini PC hoặc desktop thì có thể tận dụng nguyên TPM của thiết bị mục tiêu, khiến rủi ro đánh cắp vật lý tăng mạnh
- Theo bài viết của SecurityOnline, YellowKey cũng hoạt động trên Windows Server 2022 và 2025 nhưng không hoạt động trên Windows 10
Cấu hình TPM·PIN và bối cảnh công bố
- Eclipse cho biết ngay cả khi dùng đầy đủ cấu hình TPM-and-PIN thì cũng không giúp ích
- Họ cũng có một biến thể cho cấu hình đó, nhưng cho biết chưa công bố PoC của nó
- Eclipse nói rằng lỗ hổng này được che giấu rất kỹ và nếu bán đi có thể kiếm được nhiều tiền, nhưng đã công bố vì quyết tâm với Microsoft
- Tháng trước, Chaotic Eclipse cũng từng công bố các zero-day BlueHammer và RedSun khiến Windows Defender trao quyền quản trị hệ thống
- Việc công bố khi đó diễn ra sau cáo buộc rằng đội bảo mật Microsoft đã từ chối báo cáo lỗ hổng
GreenPlasma được công bố cùng lúc
- GreenPlasma do Chaotic Eclipse công bố cùng lúc không có PoC hoàn chỉnh, nhưng được cho là có thể giành quyền truy cập cấp hệ thống thông qua leo thang đặc quyền cục bộ
- GreenPlasma hoạt động bằng cách thao túng tiến trình
CTFMon để đặt đối tượng section bộ nhớ đã bị chỉnh sửa vào một section cụ thể trong Windows Object Manager
- Section này là vị trí mà người dùng SYSTEM có quyền ghi và được cho là có thể vượt qua cơ chế kiểm soát truy cập thông thường
- Sau đó, mã khai thác có thể truy cập vào vùng bộ nhớ lẽ ra không được phép truy cập, từ đó giành quyền truy cập toàn bộ hệ thống
- Trên desktop, một chương trình tùy ý có thể giành toàn quyền truy cập; trên server, người dùng thường có thể kiểm soát cả máy chủ lẫn dữ liệu của người dùng khác, nên còn nghiêm trọng hơn
Trạng thái phản hồi của Microsoft
- Tính đến thời điểm bài viết được viết, Microsoft chưa đưa ra lập trường chính thức nào về YellowKey hay GreenPlasma
- BlueHammer đã được vá
- Chaotic Eclipse cho rằng Microsoft đã vá âm thầm RedSun, nhưng việc này cũng chưa có phản hồi chính thức
1 bình luận
Ý kiến trên Hacker News
Nguồn bài gốc là https://deadeclipse666.blogspot.com/2026/05/two-more-public-...
Liên kết khác: https://github.com/Nightmare-Eclipse/YellowKey, https://github.com/Nightmare-Eclipse/GreenPlasma
Lỗ hổng BitLocker có vẻ đơn giản nhưng cực kỳ nguy hiểm
Doanh nghiệp và cá nhân từ trước đến nay vẫn dựa vào BitLocker để bảo vệ dữ liệu khi thiết bị bị thất lạc, nhưng Microsoft dường như không nghiêm túc với bảo mật như những gì họ hứa hẹn
Cần điều gì nữa để nhiều công ty thực sự hiểu rõ rủi ro của việc phụ thuộc vào Windows và nền tảng Microsoft?
Thời Windows 7, chỉ cần cho đĩa cài Windows vào và nhấn tổ hợp như Shift+F7 là có thể mở được dấu nhắc lệnh hệ thống khi ổ đĩa đang ở trạng thái đã mở khóa
Nếu đã nói rằng sẽ cho phép trình cài đặt mở khóa BitLocker thì lẽ ra phải nghĩ ngay rằng “vậy toàn bộ trình cài đặt phải an toàn ngang màn hình đăng nhập”, nhưng có vẻ họ đã không làm vậy
Chuyện này là kết quả của việc Microsoft cố tiếp tục các thực hành bảo mật tệ hại rồi cho qua
Nhà nghiên cứu còn nói rằng đang có một phiên bản khác có thể vượt qua cả TPM+PIN bằng một cửa hậu tương tự, và điều đó có vẻ đáng tin
Việc cùng một người tìm ra 5 zero-day ring 0 trong vòng 3 tháng là quá hiếm về mặt thống kê; người này có vẻ thực sự rất giỏi về exploit, ở tầm Juan Sacco
Trong trường hợp đó, nếu có thể vượt qua xác thực sau khi khởi động từ một ảnh hệ điều hành đã ký hoặc xem được trạng thái bộ nhớ hệ thống, thì cũng sẽ lộ nội dung đĩa theo cùng kiểu lỗ hổng
Đây là sự đánh đổi về kiến trúc có thể chọn trên bất kỳ nền tảng nào, không liên quan đến “phụ thuộc”
Cấu hình mã hóa đĩa BitLocker an toàn hơn thì đơn giản, nhưng thường không làm vì tạo gánh nặng lớn cho quản trị viên
Tôi nghĩ mặc định của Apple với FileVault tốt hơn, vì việc “bật” FileVault gần giống như bọc thêm khóa ràng buộc với UID phần cứng sẵn có bằng mật khẩu người dùng
Tuy vậy, chiến lược này có thể gây ra vấn đề lớn với việc xoay vòng mật khẩu từ xa hoặc xác thực ủy quyền kiểu Active Directory, nên có lẽ đó là lý do Microsoft không chọn làm mặc định
Crikey, có vẻ tin lớn về cửa hậu này đang bị chìm đi khá nhiều
Dù không phải tất cả thì ít nhất phần lớn trong số này trông như các exploit đã hoàn thiện, có giá trị cực cao
Giá trị trên thị trường chắc sẽ thuộc loại thiên văn, và đặc biệt phù hợp với các cơ quan thực thi pháp luật dùng dịch vụ mở khóa thuê
Vì vậy tôi rất đánh giá cao việc công khai đầy đủ
BitLocker vốn dĩ hầu như vô dụng nếu phần cứng không an toàn
Có nhiều triển khai Boot Guard cho phép OEM tạo firmware chỉ khởi động được nếu chứng chỉ đã được fuse vào phần cứng, nhưng đã có ít nhất 2 lần các chứng chỉ này bị lộ khiến toàn bộ phần cứng dùng chữ ký đó bị phơi bày, và còn có các cách vượt qua khác nữa
Một số Boot Guard là “flash guard” chỉ cho phép flash firmware đã ký, nên không ngăn được việc ghi trực tiếp vào chip SPI BIOS
Đã từng có người trình diễn việc vá mô-đun SMM của firmware để giữ nguyên giá trị PCR mà vẫn hoàn toàn không kích hoạt khóa BitLocker
Tức là chỉ cần tháo laptop hay desktop ra và có khoảng 2 phút để flash firmware, là có thể ghi từ bên ngoài một BIOS đã cài mô-đun SMM
Điều này nguy hiểm nhất khi không có xác thực bằng PIN, vì chỉ cần lấy cắp laptop là có thể trích xuất dữ liệu
Nếu có PIN, thì chỉ cần để người dùng tự khởi động rồi thả payload rút dữ liệu qua mạng, hoặc ghi lại khóa giải mã vào phân vùng không mã hóa, hay làm hỏng vài sector cuối đĩa rồi ghi vào đó, sau đó lấy trộm lại là xong
Nếu sửa SMM, còn có thể vá quá trình khởi động để nạp payload độc hại vào hypervisor hoặc kernel
Không phải mọi kẻ tấn công đều là tác nhân cấp quốc gia, ngoài đời còn rất nhiều kẻ khá nghiệp dư
Tôi không thấy giả định kiểu “nếu không chặn được đối thủ mạnh nhất thì mọi thứ đều vô dụng, khỏi cần quan tâm” là hữu ích
Tôi biết ổ khóa xe đạp của mình vẫn có thể bị một người đủ giỏi và đủ lì cắt trong vài giây, nhưng tôi vẫn sẽ khóa xe
Nó đầy bug và lỗ hổng bảo mật, dùng thứ đó mới thực sự là điên rồ
https://infosec.exchange/@wdormann/116565129854382214
Tuy nhiên, tác giả YellowKey nói rằng họ không đồng ý việc PIN là một biện pháp bảo vệ hiệu quả
Thật bất ngờ. Liệu Microsoft có bị tổn hại danh tiếng nặng nề vì cửa hậu này không, hay vì họ quá thiết yếu với đa số tổ chức nên sẽ chẳng sao cả?
Chỉ riêng các tài liệu gốc từ tiết lộ của Snowden cũng đã làm điều đó đủ rõ ràng rồi, nếu trước đó còn chưa rõ
Doanh nghiệp dùng Microsoft vì họ cho rằng dù có cửa hậu thì cũng không liên quan hay ảnh hưởng đến mình
Họ không phải khủng bố hay tội phạm ấu dâm, và dù BitLocker có cửa hậu hay không thì họ cũng sẽ tuân thủ trát đòi hầu tòa
Còn cá nhân nào thực sự quan tâm tới bảo mật và quyền riêng tư thì sẽ để dữ liệu của mình trong một ổ VeraCrypt nào đó
Kẻ tấn công chỉ là đã tìm được cách khởi động vào chế độ khôi phục rồi exploit Windows
Mức độ an toàn của các tệp trên thiết bị phụ thuộc vào việc kẻ tấn công không thể chiếm được Windows từ bất kỳ bề mặt tấn công nào lộ ra trước khi người dùng mở khóa
Vì vậy các hệ điều hành như GrapheneOS sẽ vô hiệu hóa cổng USB trong giai đoạn khởi động ban đầu để giảm bớt bề mặt tấn công mà kẻ tấn công có thể chạm tới
Tôi không chắc việc sao chép khóa sau khi hệ thống đã được mở khóa có nên được gọi là cửa hậu hay không
Nếu hệ điều hành đã hứa sẽ chặn truy cập vào khóa mà rồi thất bại, thì tôi hiểu logic vì sao mọi người gọi đó là cửa hậu
Nhưng nó khác với chuyện có sẵn khóa vượt quyền hay khóa chia sẻ trước, trong khi bài viết lại mang sắc thái như vậy
Nhân tiện, thật may là tôi không dùng Windows
Với BitLocker chỉ dùng TPM, mọi kỹ thuật vượt xác thực sau khi khởi động hoặc trích xuất nội dung bộ nhớ đều là điểm yếu; trường hợp này chỉ là một kỹ thuật bypass xác thực đặc biệt ngớ ngẩn và kỳ quặc được tác giả lẫn truyền thông thổi phồng mạnh
Mọi hệ điều hành giải mã ổ đĩa chỉ dựa vào danh tính phần cứng đều dễ bị cùng một kiểu tấn công
Các cấu hình mã hóa toàn bộ ổ đĩa trên Linux cũng có nhiều cách bị cấu hình sai hoặc bị exploit để chui vào shell khôi phục
Dù vậy, nó vẫn tốt hơn rất nhiều so với “không bảo vệ đĩa”, đặc biệt vì nó chặn được mọi kịch bản ổ đĩa bị tháo khỏi phần cứng
Chỉ là bề mặt tấn công sau khi khởi động rất lớn, và trước các đối thủ nghiêm túc thì không nên xem lớp bảo vệ này hơn một gờ giảm tốc
Tôi thấy trên Reddit có người hỏi rằng sau khi đã vá xong, liệu có thể ghi phiên bản WinRE đã biết là dễ tổn thương vào ổ hiện tại hay ổ khác hay không
Tôi không rành về BitLocker hay TPM lắm, vậy những thứ này có ngăn được kiểu đó không?
Tôi không hiểu vì sao trong những luồng như thế này lại có quá nhiều câu trả lời cố làm giảm nhẹ vấn đề
Cũng lạ là phần lớn lại đến từ các tài khoản mới
Tôi liên tục thấy các biến thể như “đây không phải exploit BitLocker mà là lỗi xác thực/tăng quyền”, “tác giả có cảnh báo rõ là có thể vượt TPM+PIN nhưng thực ra không phải thế hoặc không có ý như vậy”, “không nên vội kết luận là cửa hậu”, “ai cũng đã biết BitLocker chỉ dùng TPM là không an toàn”
Điều cuối cùng đặc biệt kỳ quặc khi rất nhiều tổ chức đang được thiết kế để phải phụ thuộc vào chính thứ đó
Nếu có thể tấn công Windows thành công trong khoảng giữa lúc mở khóa và lúc người dùng đăng nhập, thì việc truy cập tệp là điều quá hiển nhiên
Nếu đây là kiểu tấn công đó thì không phải lỗi của bản thân BitLocker
Việc yêu cầu “hãy chứng minh đi” với tuyên bố vượt TPM+PIN là hoàn toàn hợp lý
Cũng đúng là không nên vội kết luận đây là cửa hậu
Và BitLocker chỉ dùng TPM không hẳn là thứ đã được biết là không an toàn, mà gần hơn với việc có một bề mặt tấn công khổng lồ đã được biết rõ
Ở đây chuyện đó xảy ra suốt, và có vẻ không có cách nào chặn các câu trả lời trông giống thật 100%, nên cứ bỏ qua thôi
Trông nó quá giống một cửa hậu có chủ đích, đến mức làm tôi nghi ngờ hơn về chuyện TrueCrypt năm 2014 đột ngột khuyên mọi người chuyển hết sang BitLocker
Cửa hậu cụ thể này có lẽ khi đó chưa tồn tại, vì nó có vẻ chỉ áp dụng cho Windows 11, nhưng khả năng đã có các cửa hậu khác thì nghe hợp lý hơn nhiều
Tuy vậy, nếu người ta đã “giết” TrueCrypt để buộc mọi người chuyển sang loại mã hóa có thể cài cửa hậu, thì cũng khó hiểu vì sao lại để VeraCrypt tồn tại
VeraCrypt là mã nguồn mở và đã được kiểm toán độc lập, nên đáng ra không có cửa hậu