Neuer Bitlocker-Bypass: Chaotic Eclipse wirft weiter mit Windows-Exploits um sich
Nur einen Tag nachdem der mit Microsoft zerstrittene Sicherheitsforscher Chaotic Eclipse behauptet hat, die Entwicklung des am Dienstag veröffentlichten Defender-Exploits Rogueplanet habe ihn "völlig erschöpft", legt der Forscher direkt nochmal nach. Mit GreatXML hat er jetzt einen weiteren Exploit geleakt, mit dem sich abermals Microsofts Verschlüsselungssoftware Bitlocker umgehen lassen soll.
Der GreatXML-Exploit ist sowohl auf Github(öffnet im neuen Fenster) als auch auf zwei(öffnet im neuen Fenster) nicht unter Microsofts Kontrolle stehenden Plattformen(öffnet im neuen Fenster) verfügbar. Damit stellt Chaotic Eclipse sicher, dass seine Leaks auch dann weiterhin online bleiben, wenn Microsoft wieder sein Github-Konto sperrt, wie es bereits im Mai geschehen ist.
Angriff über Defender-Offline-Scan
GreatXML funktioniert den Angaben zufolge nur, wenn auf einem Zielsystem zu einem beliebigen Zeitpunkt ein Offline-Scan mit dem Microsoft Defender(öffnet im neuen Fenster) durchgeführt wurde. Ist diese Bedingung erfüllt, so gilt das jeweilige System als anfällig. Selbst dürfte ein Angreifer diesen Zustand aber in der Regel nicht herbeiführen können. Dafür müsste er sich am verschlüsselten System anmelden, woraufhin er die Daten ohnehin lesen könnte. Der Exploit wäre damit überflüssig.
Nach dem Offline-Scan muss ein Angreifer für die Ausnutzung von GreatXML laut Chaotic Eclipse lediglich die Datei unattend.xml sowie das Recovery-Verzeichnis aus dem Exploit-Repository in das Stammverzeichnis der Wiederherstellungspartition kopieren.
Danach reicht angeblich ein Neustart in die Windows-Wiederherstellungsumgebung (WinRE). "Wenn alles korrekt ausgeführt wurde, wird eine Shell mit uneingeschränktem Zugriff auf das Bitlocker-Volume gestartet", heißt es in der Beschreibung des Exploits.
Ganz so einfach ist es wohl nicht
Der Sicherheitsforscher Will Dormann konnte den Angriff bei eigenen Tests an mehreren Windows-11-Systemen laut einem Beitrag auf Mastodon(öffnet im neuen Fenster) in der beschriebenen Form nicht reproduzieren. Er geht davon aus, dass die Angaben von Chaotic Eclipse unvollständig sind. Erst nach einem zweiten Offline-Scan nach dem Einschleusen der Exploit-Dateien in die WinRE-Partition konnte Dormann das verschlüsselte Laufwerk entsperren.
Ein Angreifer müsste seinem Opfer ein gestohlenes Zielgerät also nach der Anwendung von GreatXML zunächst zurückgeben und es dazu verleiten, einen Offline-Scan auszuführen, um ihm das Gerät danach wieder zu entreißen und damit Zugriff auf die verschlüsselten Daten zu erhalten. Sofern Dormann nichts übersehen hat, wäre der Angriff also deutlich aufwendiger als Chaotic Eclipse ihn beschreibt.
Wie Chaotic Eclipse in einem Blogbeitrag(öffnet im neuen Fenster) schildert, war der GreatXML-Exploit eine "zufällige Entdeckung", für die er nur etwa vier Stunden gebraucht habe. Er nimmt an, dass der Angriff grundsätzlich auch ohne den vorherigen Offline-Scan möglich ist. Er sei aber "derzeit nicht interessiert genug", um sich damit zu befassen, so der Forscher.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.