YellowKey zero-day обходит BitLocker через USB: эксплойт от Chaotic Eclipse 2026 / Tom`s Hardware

Исследователь по кибербезопасности Chaotic Eclipse (он же Nightmare-Eclipse) опубликовал два новых zero-day эксплойта для Windows: YellowKey и GreenPlasma. Первый обходит шифрование BitLocker без каких-либо ключей, второй предоставляет системный доступ выше уровня администратора. Официального ответа от Microsoft по состоянию на момент публикации нет.

BitLocker — встроенный инструмент шифрования Windows, защищающий данные на диске. По умолчанию включен в Windows 11 и используется на миллионах устройств по всему миру: от домашних ноутбуков до корпоративных серверов и госучреждений.

YellowKey активируется по до смешного простой схеме. Достаточно скопировать папку «FsTx» с соответствующим содержимым в раздел «System Volume Information» на любой USB-флешке. Затем перезагрузить ПК в среду восстановления Windows, удерживая клавишу Ctrl — и система без запроса пароля или ключа открывает командную строку с полным доступом к зашифрованному диску.

Tom’s Hardware самостоятельно проверил метод и подтвердил: он действительно работает. Отдельно отмечается настораживающая деталь: после использования файлы с флешки исчезают сами по себе — поведение, характерное для намеренно скрытого бэкдора. YellowKey также работает в Windows Server 2022 и 2025, но не в Windows 10.

Eclipse добавляет, что даже конфигурация с полным PIN-кодом и TPM (Trusted Platform Module — защищенный чип для хранения ключей шифрования) не спасает: для этого сценария у него есть отдельный вариант, который он пока не публиковал.

Второй эксплойт, GreenPlasma, манипулирует процессом CTFMon и позволяет любой программе получить доступ к системной памяти в обход стандартных ограничений. Для серверной среды это означает, что обычный пользователь может получить контроль над всеми данными сервера.

Публикация состоялась после того, как Microsoft якобы проигнорировала предыдущие отчеты Eclipse. Ранее исследователь опубликовал BlueHammer и RedSun — оба предоставляли права администратора через Windows Defender. BlueHammer Microsoft уже исправила, RedSun, по словам Eclipse, закрыли тихо, без официального признания. «Я мог бы заработать бешеные деньги, продав это, но никакие деньги не остановят мою решимость,» — написал он в своем блоге.