Scoperto (in 4 ore) un nuovo bypass di BitLocker: basta aver usato Defender Offline Scan

Una nuova tecnica denominata GreatXML ha attirato l’attenzione della comunità di sicurezza perché mette in discussione uno dei presupposti fondamentali di BitLocker: la protezione dei dati quando un dispositivo finisce nelle mani sbagliate. La scoperta, pubblicata dal ricercatore noto come Nightmare Eclipse, sembra sfruttare una particolare interazione tra WinRE (Windows Recovery Environment) e Microsoft Defender Offline Scan.

Secondo quanto riportato dall’autore della ricerca, la vulnerabilità sarebbe immediatamente sfruttabile soltanto sui sistemi in cui sia stata avviata almeno una volta la scansione offline di Defender, una funzione presente da anni in Windows e utilizzata per analizzare il sistema prima del caricamento completo del sistema operativo.

Con GreatXML, il meccanismo di cifratura usato da BitLocker rimane integro; il problema riguarderebbe invece la catena di fiducia che consente a Windows di accedere automaticamente alle chiavi di protezione durante alcune procedure di recupero e manutenzione.

GreatXML: un attacco a BitLocker confezionato in 4 ore di lavoro

Il ricercatore ha descritto GreatXML come una scoperta accidentale, maturata in appena 4 ore complessive di analisi.

La tecnica è pubblicata attraverso un repository che include file XML e componenti destinati a essere copiati nella partizione di ripristino del sistema. Una volta predisposti i file necessari, la procedura consentirebbe di ottenere una shell con privilegi elevati e accesso al volume protetto da BitLocker.

Come specificato in precedenza, qualsiasi macchina sulla quale si sia usata la scansione offline di Defender è potenzialmente vulnerabile. In assenza di una precedente esecuzione, l’attaccante dovrebbe riuscire ad attivare manualmente la modalità offline oppure individuare un’altra strada per avviare il sistema nello stato richiesto.

Come si vede nell’immagine, mentre la scansione online si avvia, si apre un prompt con privilegi elevati che permette l’accesso al contenuto dell’unità di sistema protetta con BitLocker.

Il ruolo di Windows Recovery Environment

WinRE, com’è noto, è una versione ridotta di Windows PE che permette di eseguire attività di ripristino, diagnosi e manutenzione quando il sistema principale non si avvia correttamente. Opera prima del caricamento completo dell’ambiente Windows tradizionale e proprio per questo motivo possiede privilegi elevati e può accedere a componenti che normalmente restano protetti. BitLocker considera il percorso di avvio del sistema come attendibile e, in determinate condizioni, consente lo sblocco automatico dei volumi cifrati tramite il modulo TPM.

GreatXML sfrutta una condizione particolare in cui l’ambiente di recupero WinRE tratta come attendibili file che non dovrebbero esserlo.

In particolare, l’avvio di Defender Offline Scan per l’effettuazione di una scansione antimalware offline appoggiandosi a WinRE, lascia tracce o stati persistenti all’interno dell’ambiente di recupero che possono essere sfruttati successivamente. GreatXML utilizza infatti file di configurazione XML elaborati durante la fase di boot in modalità recovery, consentendo l’esecuzione di comandi non previsti e l’apertura di una console con privilegi elevati.

Impatto reale e limiti dell’attacco

Le informazioni disponibili indicano che GreatXML richiede accesso fisico al dispositivo e comunque la possibilità di modificare la partizione di ripristino. Non esistono segnali che facciano pensare alla possibilità di sfruttare la falla in modalità remota.

Molte organizzazioni affidano a BitLocker la protezione dei notebook aziendali durante trasferte o comunque mentre si è in viaggio, potendo così contare su un buon livello di protezione contro furti e smarrimenti. Se un attaccante riesce a ottenere accesso fisico al dispositivo per un periodo sufficiente, una vulnerabilità che coinvolge WinRE può trasformarsi in un problema concreto per la riservatezza dei dati.

Perché un attaccante possa accedere alla partizione BitLocker, comunque, egli deve comunque essere già in grado di scrivere sul disco in modo da modificare il contenuto della partizione WinRE.

Se invece il sistema utilizza BitLocker con protezione TPM+PIN, la situazione diventa molto meno pericolosa: in questo caso l’aggressore non può montare il volume Windows, alterare WinRE e preparare il bypass senza conoscere il PIN.

Il mistero del post scomparso e i repository ancora online

Un aspetto che ha attirato subito la nostra attenzione riguarda la rapida scomparsa del post originale utilizzato per annunciare GreatXML.

La pagina pubblicata sul blog personale di Nightmare Eclipse restituisce un errore 404, nonostante una copia sia ancora disponibile tramite Internet Archive.

La circostanza appare particolarmente insolita perché i repository contenenti il proof of concept e la documentazione tecnica continuano a essere pubblicamente accessibili. Se l’obiettivo fosse stato limitare la diffusione della ricerca, sarebbe stato più logico intervenire sui sorgenti che ospitano il codice piuttosto che sul semplice articolo di presentazione.

Negli ultimi mesi Nightmare Eclipse ha pubblicato numerosi proof of concept che hanno coinvolto componenti centrali della sicurezza di Windows, tra cui BlueHammer contro Microsoft Defender, YellowKey per l’aggiramento di BitLocker sempre attraverso WinRE (problema risolto con le patch Microsoft di giugno 2026) e GreenPlasma per l’elevazione dei privilegi.

La particolarità di queste ricerche non risiede soltanto nell’impatto tecnico, ma anche nel clima di forte tensione che si è sviluppato tra l’autore e Microsoft dopo la divulgazione pubblica di diverse vulnerabilità non ancora corrette. Secondo varie ricostruzioni, il ricercatore avrebbe contestato le modalità di gestione delle segnalazioni da parte del Microsoft Security Response Center (MSRC), mentre Microsoft ha criticato apertamente la pubblicazione dei proof of concept prima della distribuzione delle patch minacciando possibili azioni legali.