YellowKey e GreenPlasma: novas vulnerabilidades zero-day do Windows expõem bypass do BitLocker

O pesquisador conhecido online como Chaotic Eclipse, também chamado de Nightmare-Eclipse, divulgou duas novas vulnerabilidades zero-day afetando sistemas Windows modernos. As falhas receberam os codinomes YellowKey e GreenPlasma.

As vulnerabilidades afetam componentes sensíveis do ecossistema Windows:

As descobertas surgem pouco tempo após o pesquisador divulgar os casos BlueHammer, RedSun e UnDefend relacionados ao Microsoft Defender.

O que é o YellowKey?

O YellowKey é uma vulnerabilidade que permite contornar proteções do BitLocker através do Windows Recovery Environment (WinRE).

Segundo o pesquisador, a falha afeta:

O ataque funciona manipulando arquivos especiais chamados "FsTx" dentro de dispositivos USB ou partições EFI.

Fluxo simplificado do ataque:

USB com arquivos FsTx → reinicialização no WinRE → manipulação de arquivos → shell cmd.exe → volume BitLocker desbloqueado

O processo descrito envolve:

O aspecto mais preocupante é que o bypass continua possível mesmo em cenários utilizando TPM+PIN.

Como o bypass do BitLocker funciona?

Embora os detalhes completos ainda não tenham sido totalmente documentados publicamente, a vulnerabilidade parece explorar comportamento relacionado ao sistema transacional NTFS durante o WinRE.

O pesquisador Will Dormann conseguiu reproduzir o problema utilizando apenas um pendrive conectado ao sistema.

Segundo Dormann:

Fluxo conceitual observado:

FsTx → manipulação NTFS transacional → alteração do WinRE → execução cmd.exe → acesso ao volume desbloqueado

A parte mais crítica do caso envolve o fato de que um volume aparentemente consegue modificar arquivos presentes em outro volume durante o processo de recuperação do Windows.

Por que o YellowKey é considerado tão grave?

O BitLocker é amplamente utilizado como uma das principais camadas de proteção contra acesso físico não autorizado em dispositivos Windows.

Em ambientes corporativos, ele protege:

O problema do YellowKey é que ele atinge justamente o ambiente de recuperação do Windows, um componente altamente privilegiado.

Se explorado com sucesso, o atacante pode:

Mesmo assim, em cenários corporativos, laboratórios, aeroportos, roubos de dispositivos ou ambientes compartilhados, esse tipo de vulnerabilidade continua extremamente relevante.

GreenPlasma: escalonamento SYSTEM via CTFMON

A segunda vulnerabilidade divulgada foi apelidada de GreenPlasma.

Ela afeta o Windows Collaborative Translation Framework (CTFMON), componente utilizado internamente pelo Windows para gerenciamento de entrada de texto e frameworks de tradução/input.

Segundo o pesquisador, a vulnerabilidade permite:

A prova de conceito divulgada ainda está incompleta, mas demonstra a capacidade de criar objetos arbitrários de seção de memória em diretórios graváveis pelo SYSTEM.

Fluxo conceitual:

usuário sem privilégios → criação arbitrária de seção → abuso de objetos privilegiados → escalonamento SYSTEM

Como o GreenPlasma pode ser explorado?

Segundo as informações divulgadas, o ataque explora a confiança implícita de serviços e drivers privilegiados em determinados caminhos internos do sistema.

Na prática:

O pesquisador afirma que o exploit ainda não contém o trecho final responsável por gerar shell SYSTEM completo.

Mesmo assim, a vulnerabilidade já demonstra potencial significativo para abuso local.

Relação com BlueHammer, RedSun e UnDefend

As novas divulgações acontecem poucas semanas após Chaotic Eclipse divulgar outras vulnerabilidades críticas relacionadas ao Microsoft Defender.

As falhas anteriores incluem:

Segundo o pesquisador, algumas vulnerabilidades teriam sido corrigidas sem comunicação clara da Microsoft.

Em declaração pública, ele afirmou:

O pesquisador também prometeu uma "grande surpresa" relacionada à próxima Patch Tuesday da Microsoft em junho de 2026.

Novo ataque de downgrade contra o BitLocker

Além do YellowKey, pesquisadores da Intrinsec também divulgaram recentemente uma nova cadeia de ataque envolvendo downgrade do boot manager do Windows.

O ataque explora a CVE-2025-48804.

O problema envolve manipulação de arquivos SDI e WIM durante o processo de boot.

Fluxo simplificado:

bootmgfw.efi vulnerável → WIM modificado → WinRE infectado → cmd.exe → BitLocker desbloqueado

Segundo os pesquisadores, a Secure Boot verifica apenas a assinatura do binário e não necessariamente sua versão.

Isso permite carregar versões antigas e vulneráveis do boot manager ainda assinadas com certificados válidos.

Conclusão

As vulnerabilidades YellowKey e GreenPlasma mostram como componentes internos do Windows continuam oferecendo caminhos complexos para bypass de segurança e escalonamento de privilégios.

O caso YellowKey é especialmente preocupante porque demonstra um possível bypass do BitLocker diretamente através do ambiente de recuperação do Windows, inclusive em cenários protegidos por TPM.

Já o GreenPlasma reforça como frameworks internos pouco observados, como o CTFMON, ainda podem abrir caminhos inesperados para obtenção de privilégios SYSTEM.

Somado aos casos recentes envolvendo BlueHammer, RedSun e ataques de downgrade do BitLocker, o cenário indica aumento na pesquisa ofensiva focada em:

Para ambientes corporativos, o momento exige atenção especial a proteção física, políticas de boot, criptografia pré-inicialização e endurecimento de endpoints Windows.

Escrito por

Daniel Felipe

Daniel Felipe é criador do NetCatTest e produz conteúdos sobre cibersegurança, privacidade digital, OSINT, laboratórios autorizados e ferramentas para estudo técnico responsável.

Perfil e publicações [email protected] YouTube GitHub LinkedIn