Cảnh báo Zero-day

Hai lỗ hổng Zero-day mới mang tên YellowKey và GreenPlasma vừa được công khai, cho phép kẻ tấn công vô hiệu hóa mã hóa BitLocker và chiếm quyền điều khiển mức cao nhất trên các hệ điều hành Windows hiện đại.

Chi tiết về YellowKey và GreenPlasma

Nhà nghiên cứu bảo mật ẩn danh với biệt danh Chaotic Eclipse đã công bố chi tiết về hai lỗi bảo mật nghiêm trọng mà Microsoft chưa kịp tung ra bản vá chính thức. Đây là những kỹ thuật tấn công tinh vi, khai thác sâu vào môi trường phục hồi và các tiến trình hệ thống cốt lõi.

Lỗ hổng YellowKey

Khai thác lỗi trong Windows Recovery Environment (WinRE) để vượt qua BitLocker. Kẻ tấn công chỉ cần một USB chứa các tệp tin đặc chế để kích hoạt shell cmd.exe từ phân vùng X: mà không cần khóa giải mã, ngay cả khi hệ thống sử dụng TPM+PIN.

Lỗ hổng GreenPlasma

Liên quan đến lỗi tạo memory section tùy ý trong CTFMON (Windows Collaborative Translation Framework). Lỗ hổng này cho phép người dùng không có đặc quyền tạo ra các đối tượng bộ nhớ trong thư mục của hệ thống, dẫn đến leo thang đặc quyền lên mức SYSTEM.

Phạm vi và Ảnh hưởng

Các lỗ hổng này đã được xác nhận ảnh hưởng đến các phiên bản hệ điều hành phổ biến nhất hiện nay, bao gồm:

Windows 11: Tất cả các bản cập nhật mới nhất.
Windows Server 2022 & 2025: Các nền tảng máy chủ doanh nghiệp.

Đáng chú ý, đây không phải là lần đầu tiên nhà nghiên cứu này công bố Zero-day cho Microsoft. Trước đó, các mã khai thác như BlueHammer và RedSun cũng đã gây chấn động cộng đồng bảo mật khi Microsoft bị cáo buộc phản ứng chậm trễ trong việc xử lý báo cáo.

Hành động khẩn cấp cho Quản trị viên

Trong khi chờ đợi bản vá chính thức từ Microsoft vào kỳ Patch Tuesday tới, các tổ chức cần thực hiện ngay:

Kích hoạt Preboot Authentication: Thiết lập mã PIN cho BitLocker để ngăn chặn các cuộc tấn công vật lý vào WinRE.
Cập nhật chứng chỉ khởi động: Di chuyển Boot Manager sang chứng chỉ CA 2023 và thu hồi các chứng chỉ PCA 2011 cũ đã lỗi thời.
Giám sát CTFMON: Sử dụng các công cụ EDR để phát hiện các hành vi tạo memory section bất thường từ tiến trình ctfmon.exe.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Cảnh báo lỗ hổng Zero-day mới: Vượt qua mã hóa BitLocker và leo thang đặc quyền trên Windows