微软威胁后白帽研究员再曝BitLocker绕过漏洞

6月11日消息，安全研究员Chaotic Eclipse在面临微软法律施压后，于当地时间6月10日再次公开了一个名为GreatXML的漏洞。而就在前一天，他还在抱怨自己开发Rogueplanet Defender漏洞利用程序已“精力耗尽”。值得注意的是，这个新漏洞据称同样能够绕过微软的BitLocker加密机制。

目前，Chaotic Eclipse已将GreatXML相关代码上传至GitHub，以及另外两个不受微软控制的平台。此举目的明确——即便微软像今年5月那样再次封禁他的GitHub账户，泄露内容仍能继续传播。

据他本人描述，GreatXML漏洞仅在目标系统曾执行过Microsoft Defender离线扫描的情况下才会生效。一旦满足此条件，系统便被视为存在漏洞。然而关键问题在于：攻击者通常无法主动触发这一前置状态。试想，要对一台已加密的系统执行离线扫描，需先登录系统——但此时数据本身已可直接读取，再研究如何利用漏洞，显得多此一举。

攻击的具体步骤为：黑客需将漏洞库中的unattend.xml文件及恢复目录，复制到Windows恢复分区（WinRE）的根目录，随后重启进入WinRE。用他的话来说：“如果一切执行正确，就会启动一个能不受限制访问BitLocker卷的Shell。”

然而，另一位安全研究员Will Dormann在Mastodon上表示，他按照此方法在多台Windows 11系统上进行了测试，结果均未能成功复现攻击。Dormann认为Chaotic Eclipse提供的信息可能不完整。他发现，只有将漏洞文件植入WinRE分区后，再次执行离线扫描，才能真正解锁BitLocker加密的驱动器。

换言之，攻击者需要先获取目标设备并植入文件，再将设备归还，诱使受害者执行一次离线扫描，随后重新取回设备才能访问加密数据。整个攻击链条比Chaotic Eclipse描述的复杂得多，实战价值因此大幅降低。

Chaotic Eclipse本人在博客中轻描淡写地表示，GreatXML漏洞是一次“偶然发现”，全程仅耗时约4个小时。他推测该攻击或许在目标从未执行过离线扫描的情况下也能奏效，但称“目前已经失去兴趣”，不愿继续深入探究。