یک محقق ناشناس دو زیرو-دی جدید ویندوز لیک کرد
خلاصهٔ کامل‌تر
یک محقق امنیتی ناشناس با نام‌های مستعار Nightmare-Eclipse یا Chaotic Eclipse، درست بعد از آپدیت ماهانه Patch Tuesday مایکروسافت، دو آسیب‌پذیری جدید ویندوز را به صورت عمومی منتشر کرد. این دو آسیب‌پذیری YellowKey و GreenPlasma نام دارن و به ترتیب یک بایپس بیت‌لاکر و یک باگ ارتقای سطح دسترسی (Privilege Escalation) هستن که دسترسی کامل SYSTEM را به مهاجم می‌ده.
YellowKey به گفته خود محقق «یکی از دیوانه‌وارترین چیزهایی‌ه که تا حالا پیدا کردم.» این باگ نیاز به دسترسی فیزیکی داره؛ مهاجم باید فایل‌های خاصی را روی یه USB لود کنه و بعد از وارد کردن یه ترتیب کلیدی مشخص، دسترسی Shell بدون محدودیت به دستگاه محافظت‌شده با BitLocker پیدا می‌کنه. BitLocker در واقع آخرین خط دفاعی ویندوز برای دستگاه‌های دزدیده‌شده‌ست، پس دور زدنش یعنی همه فایل‌های رمزنگاری‌شده در دسترس سارق قرار می‌گیرن.
Rik Ferguson از شرکت Forescout در این‌باره گفت: «اگر این ادعا درست باشه، لپ‌تاپ دزدیده‌شده دیگه فقط یه مشکل سخت‌افزاری نیست — تبدیل به یه اعلان نقض اطلاعات میشه.» کارشناسان توصیه می‌کنن با فعال کردن PIN بیت‌لاکر و رمز BIOS میشه جلوی این حمله را گرفت.
GreenPlasma داستان جداگانه‌ای داره؛ محقق فقط کد جزئی (partial exploit code) منتشر کرده، نه یک PoC کامل. در حال حاضر این کد توی تنظیمات پیش‌فرض ویندوز یه پنجره UAC نمایش می‌ده، یعنی بهره‌برداری بی‌صدا از اون هنوز ممکن نیست. با این حال Gavin Knapp از شرکت Bridewell هشدار می‌ده که این نوع آسیب‌پذیری‌های ارتقای دسترسی معمولاً بعد از نفوذ اولیه استفاده می‌شن تا مهاجم بتونه اعتبارنامه‌ها را جمع‌آوری کنه، به سیستم‌های دیگه نفوذ کنه و در نهایت عملیاتی مثل سرقت داده یا حمله باج‌افزاری انجام بده. هیچ راه‌حل شناخته‌شده‌ای برای GreenPlasma وجود نداره و باید منتظر پچ مایکروسافت موند.
این دو مورد جدیدترین حلقه از یه کمپین انتقام‌جویانه در حال تشدید هستن. این محقق قبلاً BlueHammer، RedSun و UnDefend را هم لیک کرده بود که دو تا از اون‌ها هنوز پچ نشدن و طبق گزارش Huntress، کدهای PoC اون‌ها در حملات واقعی هم استفاده شدن. محقق گفته یه «dead man's switch» (سوئیچ مرگ) داره و موارد بیشتری از جمله آسیب‌پذیری‌های RCE (اجرای کد از راه دور) در راهه. انگیزه او به گفته خودش نقض یک توافق شخصی بوده.
نکات کلیدی:
- YellowKey بیت‌لاکر را دور می‌زنه و با دسترسی فیزیکی + USB قابل اجراست
- راه‌حل موقت: فعال کردن PIN بیت‌لاکر و رمز BIOS
- GreenPlasma دسترسی SYSTEM می‌ده اما هنوز exploit کامل عمومی نشده
- هر دو پچ رسمی از مایکروسافت ندارن
- محقق تهدید کرده آسیب‌پذیری‌های RCE بیشتری هم منتشر خواهد کرد
