BitLocker взломали за 5 минут — даже на обновлённой Windows 11

Новый инструмент BitUnlocker позволяет расшифровать тома с шифрованием BitLocker на пропатченных машинах с Windows 11 менее чем за пять минут. Исследователи из компании Intrinsec разработали рабочий PoC — действующий прототип — downgrade-атаки (атаки с откатом на старую уязвимую версию загрузчика), которая эксплуатирует разрыв между установкой патча и отзывом старого сертификата подписи. Атакующему достаточно физического доступа к рабочей станции и USB-накопителя.

Злоумышленник подготавливает модифицированный файл BCD, указывающий на подменённый SDI, и загружает старый уязвимый загрузчик с подписью PCA 2011 через USB или PXE. Целевая машина принимает его без отклонений, и доверенный платформенный модуль (TPM) выдаёт мастер-ключ тома BitLocker (VMK) без срабатывания каких-либо предупреждений: измерения регистров PCR 7 и 11 остаются действительными при доверенном сертификате PCA 2011. Системный том открывается полностью расшифрованным.

Полностью уязвимы машины, на которых BitLocker работает только с TPM без ПИН-кода, а Secure Boot по-прежнему содержит в списке доверенных сертификат PCA 2011. Машины с настройкой TPM + ПИН-код защищены, поскольку TPM не раскроет VMK без взаимодействия с пользователем на этапе предзагрузочной аутентификации. Защищены и системы, завершившие миграцию по обновлению KB5025885 на сертификат Windows UEFI CA 2023.

Службам информационной безопасности следует немедленно включить предзагрузочную аутентификацию TPM + ПИН-код, а также установить обновление KB5025885, которое переводит подпись загрузчика на CA 2023 и вводит механизмы отзыва, блокирующие downgrade-атаку. С помощью утилиты sigcheck рекомендуется убедиться, что загрузчик подписан сертификатом CA 2023, а не устаревшим PCA 2011. На критически важных рабочих местах, где предзагрузочная аутентификация невозможна, стоит удалить раздел восстановления WinRE. Защитникам корпоративных сетей необходимо ускорить миграцию на CA 2023, прежде чем злоумышленники начнут применять эту технику в целевых атаках.