Cercetătorul în securitate Nightmare Eclipse a publicat pe 10 iunie un nou exploit zero-day pentru Windows, escaladând o dispută deja acerbă, de mai multe luni, cu privind divulgarea vulnerabilităților. Noul exploit, denumit GreatXML, ocolește criptarea unității BitLocker abuzând de artefactele lăsate în urmă de funcționalitatea de scanare offline a Windows Defender, oferind atacatorilor un shell de comandă la nivel SYSTEM în Modul de Recuperare.
Cum funcționează exploitul
Potrivit SecurityWeek, GreatXML necesită ca un atacator să copieze un fișier XML special conceput și un folder Recovery în rădăcina partiției de recuperare a computerului țintă. După repornirea în Modul Recovery — realizată ținând apăsat Shift în timp ce se face clic pe Restart — atacatorul obține acces nerestricționat la volumul protejat cu BitLocker.
Condiția esențială este ca scanarea offline a Windows Defender să fi fost inițiată cel puțin o dată pe sistemul țintă. „Dacă scanarea offline Defender nu a fost niciodată inițiată, atunci trebuie fie să te conectezi și să o inițiezi tu însuți, fie să găsești o modalitate de a porni în WinRE în starea de scanare offline”, a scris cercetătorul în dezvăluire. Aceasta înseamnă că un atacator cu acces fizic poate declanșa pur și simplu o scanare offline înainte de a executa exploitul, făcând efectiv orice mașină Windows vulnerabilă.
Un tipar de escaladare
GreatXML este cel mai recent dintr-un șir de dezvăluiri de tip zero-day ale unui cercetător anonim, care a publicat exploit-uri precum BlueHammer, RedSun, YellowKey, GreenPlasma și RoguePlanet începând de la începutul anului 2026. Cercetătorul l-a acuzat pe Microsoft că ignoră rapoartele de vulnerabilități și refuză să acorde compensații, în timp ce Microsoft a criticat dezvăluirile ca fiind iresponsabile și părea inițial că amenință cu acțiuni legale, înainte de a da înapoi într-un comunicat din 1 iunie.
Patch Tuesday-ul Microsoft din iunie 2026, lansat cu o zi înainte de publicarea GreatXML, a remediat vulnerabilitățile GreenPlasma și YellowKey dezvăluite anterior, însă nu a rezolvat și problema GreatXML. La momentul publicării, nu există niciun patch oficial și nici o atribuire CVE pentru noul exploit.
Implicații pentru securitatea întreprinderilor
Exploitul afectează orice sistem Windows care utilizează BitLocker în modul TPM exclusiv, în care a fost efectuată o scanare offline — o configurație frecvent întâlnită în mediile enterprise. Firma de securitate ThreatLocker, care a verificat în mod independent exploit-uri anterioare de tip Nightmare Eclipse, a recomandat controale de tip allowlisting ca strat suplimentar de protecție. Organizațiile care se bazează pe BitLocker sunt sfătuite să ia în considerare impunerea autentificării TPM+PIN în locul protecției exclusiv prin TPM, până când Microsoft lansează un patch.
Surse:
https://cybernews.com/security/nightmare-eclipse-rogueplanet-zero-day/
https://www.securityweek.com/greatxml-zero-day-exploit-bypasses-bitlocker/