Inzwischen eskaliert der Streit eines Forschers mit Microsoft immer weiter. Nachdem Microsoft nicht die gewünschten Bug-Bounty-Prämien gezahlt hat, veröffentlichte der Forscher bereits andere Zero-Day-Lücken, wie etwa RedSun. Nun legt er nach mit YellowKey und GreenPlasma. Sie beschreiben Zero-Day-Lücken in Bitlocker und einem Windows-Tool.
Der Forscher namens „Chaotic Eclipse“ legt weiter nach mit Informationen zu Zero-Day-Lücken in Windows und seinen Tools. Erst vor wenigen Wochen gab es den Proof-of-Concept (PoC) Zero-Day RedSun für Microsoft Defender. Zuvor wurde schon die Schwachstellen BlueHammer und UnDefend veröffentlicht. Nun geht es weiter mit den beiden Schwachstellen YellowKey und GreenPlasma.
Neue Zero-Days YellowKey und GreenPlasma
„Chaotic Eclipse“ gibt die Informationen immer über BlogSpot und Github bekannt. Zahlreiche Fachleute und Sicherheitsforscher haben sich die neuen Daten bereits angesehen und ihre Gefährlichkeit bestätigt. Insbesondere der Zero Day zu YellowKey und BitLocker hat zahlreiche Kommentare bekommen. So hat Sicherheits-Spezialist Kevin Beaumont auf Mastodon zur „YellowKey Bitlocker-Umgehungslücke: Ich habe das kurz ausprobiert und ja, es funktioniert. BitLocker hat im Grunde eine Hintertür. Abhilfe = BitLocker-PIN und BIOS-Passwortsperre.“ Auch weitere Kommentare dazu bestätigen die Lücke.
Chaotic Eclipse beschreibt die Lücke so: „Ist schon eine Weile her, dass ich einen Bitlocker-Bypass gesehen habe, jetzt bin ich dran. Das ist eine der verrücktesten Entdeckungen, die ich je gemacht habe, fühlt sich fast wie ein Hintertürchen an, aber was soll’s, vielleicht bin ich einfach nur verrückt.“ Er beschreibt die Lücke ausführlich Schritt für Schritt. Er nutzt einfach einen USB-Stick mit Windows-RE-Image und Dateien, die er zuvor von dem PC mit Bitlocker kopiert hat. Es muss also ein Zugriff auf das Gerät vorhanden sein. Außerdem beschreibt Chaotic Eclipse, dass der Zero Day nur unter Windows 11, sowie Server 2022/2025 funktioniert.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenGreenPlasma nutzt Windows-Tool CTFMON aus
Bei der zweiten Zero Day-Lücke, GreenPlasma, wird eine Sicherheitslücke im Windows Tool CTFMON ausgenutzt. Auf diese Weise wird eine Abschnittserstellung angelegt und eine Rechteausweitung erwirkt. Dieses Mal verrät der Programmierer nicht den kompletten Proof of Concept. er sagt, CTF-Fans könnten das mit dem Hinweisen herausfinden. Der PoC erstellt ein beliebiges Speicherbereichsobjekt in einem beliebigen Verzeichnisobjekt, das von SYSTEM beschreibbar ist. Danach lässt sich dies zu einer vollständigen Rechteausweitung nutzen, da sich der neu erstellte Bereich beeinflussen lässt, um Daten zu manipulieren. Viele Dienste (und sogar Kernelmodustreiber) vertrauen bestimmten Pfaden blind, da ein Standardbenutzer normalerweise keinen Schreibzugriff darauf haben soll.
Viele warten nun auf die Reaktion von Microsoft. Noch ist nicht klar, wann entsprechende Patches veröffentlicht werden und wie dringend sie umgesetzt werden müssen. Bei YellowKey ist zumindest der physische Zugriff auf das Gerät nötig. Die zweite Attacke könnte wohl nach erste Diskussionen in den Foren per Malware-Technik erfolgen.
Der Hintergrund zum Streit
Der Forscher wirft Microsoft (Microsoft Security Response Center (MSRC)) vor, seine Existenzgrundlage bedroht zu haben und nutzt die Offenlegung nun als drastisches Mittel, um auf die mangelhafte Kommunikation und auf den Umgang mit Bug-Bounty-Einsendungen aufmerksam zu machen. Damit nimmt er bewusst in Kauf, dass mit den gelieferten Informationen Enterprise-Umgebungen weltweit in Gefahr geraten könnten.
Für CISOs und SOC-Teams sind bereits die letzten Zero Day-Veröffentlichungen jeweils ein Albtraum-Szenario. Vor wenigen Wochen wurde bereits der Hintergrund zu „RedSun“ veröffentlicht. Davor gab es schon die Veröffentlichung von Sicherheitslücken im Windows Defender mit den Schwachstellen BlueHammer und UnDefend.
Mehr bei Chaotic Eclipse bei Blogspot.com
Passende Artikel zum Thema
Eskalation im Bug-Bounty-Streit: Forscher veröffentlicht weitere Windows-Zero-Days „YellowKey“ und „GreenPlasma“
Fachliche Einordnung Die Fachplattform B2BCS beobachtet mit Sorge eine drastische Eskalation zwischen der IT-Security-Community und Microsoft. Der Forscher „Chaotic Eclipse“ veröffentlicht aus Protest gegen die Bug-Bounty-Politik des Microsoft Security Response Center (MSRC) systematisch kritische Zero-Day-Lücken. Nach den Schwachstellen RedSun, BlueHammer und UnDefend folgen nun YellowKey und GreenPlasma. Der renommierte Sicherheitsforscher Kevin Beaumont bestätigt die Relevanz und warnt, dass BitLocker unter bestimmten Bedingungen faktisch eine „Hintertür“ aufweist.
Key-Takeaways
- YellowKey (BitLocker-Bypass): Ermöglicht die Umgehung der Verschlüsselung unter Windows 11 sowie Windows Server 2022/2025 mittels eines präparierten USB-Sticks und Windows-RE-Images. (Quelle: Chaotic Eclipse / Kevin Beaumont)
- GreenPlasma (LPE): Nutzt das Windows-Tool CTFMON aus, um eine lokale Rechteausweitung (Local Privilege Escalation) durch Manipulation von Speicherbereichen in SYSTEM-Verzeichnissen zu erzwingen. (Quelle: Chaotic Eclipse)
- Bestätigte Funktionalität: Unabhängige Experten bestätigen, dass die Exploits wie beschrieben funktionieren; für YellowKey ist jedoch physischer Zugriff auf die Hardware erforderlich. (Quelle: Kevin Beaumont)
- Hintergrund des Leaks: Der Forscher wirft Microsoft mangelhafte Kommunikation und die Gefährdung seiner Existenzgrundlage vor und nutzt die Full-Disclosure als Druckmittel. (Quelle: Chaotic Eclipse)
- Fehlende Patches: Da es sich um Zero-Day-Lücken handelt, existieren zum Zeitpunkt der Veröffentlichung keine offiziellen Sicherheitsupdates von Microsoft. (Quelle: Analysen laut Artikeltext)
Strategische Analyse Für CISOs und SOC-Teams entwickelt sich die „Chaotic Eclipse“-Serie zu einem Albtraumszenario, da hier ein hochkompetenter Akteur aus Frustration systematisch Verteidigungsmechanismen (Defender, BitLocker) neutralisiert. Besonders brisant ist die Lücke YellowKey: Sie entwertet das Vertrauen in die Standard-Verschlüsselung moderner Windows-Server-Umgebungen. Die Tatsache, dass der Forscher nur Fragmente des Codes (wie bei GreenPlasma) liefert, fordert zudem die Exploit-Entwickler-Szene heraus, was die Zeit bis zu bewaffneten Malware-Kampagnen (Time-to-Exploit) verkürzt.
Handlungsempfehlung: Sicherheitsverantwortliche müssen sofortige Schadensbegrenzung betreiben. Für die BitLocker-Problematik (YellowKey) ist die Implementierung einer BitLocker-PIN in Verbindung mit einer BIOS/UEFI-Passwortsperre zwingend erforderlich, um den Boot-Prozess gegen externe Medien abzusichern. Gegen GreenPlasma sollten Unternehmen verstärkt auf Verhaltensanalyse (EDR) setzen, die ungewöhnliche Schreibvorgänge in SYSTEM-Verzeichnissen durch Standardnutzer überwacht. Die Kommunikation mit der Geschäftsführung sollte die geopolitische und wirtschaftliche Dimension solcher „Rache-Leaks“ betonen, um Ressourcen für eine beschleunigte Härtung der Endpunkte freizumachen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200