ثغرة YellowKey (CVE‑2026‑45585): كيف يمكن تجاوز BitLocker عبر Windows Recovery Environment

على عكس العديد من الهجمات السيبرانية، لا يمكن تنفيذ هذا الاستغلال عن بُعد. إذ يتطلب وصولًا فعليًا إلى الجهاز بحيث يستطيع المهاجم إعادة تشغيله والتفاعل مع بيئة الإقلاع أو الاسترداد.

ومع ذلك، يظل هذا السيناريو واقعيًا في حالات مثل سرقة الأجهزة أو مصادرتها مؤقتًا أو تركها دون مراقبة.

كيف يعمل استغلال YellowKey

أظهرت تجارب إثبات المفهوم (PoC) أن الهجوم يعتمد على سلوك داخل Windows Recovery Environment، وهي بيئة مدمجة تُستخدم لإصلاح النظام عند حدوث مشاكل في الإقلاع.

بشكل مبسط، يتم تنفيذ الهجوم كالتالي:

• يقوم المهاجم بإعداد USB أو قسم EFI يحتوي على ملفات FsTx (Transactional NTFS) معدّة خصيصًا.
• يتم إعادة تشغيل الجهاز المستهدف والدخول إلى WinRE.
• عند معالجة WinRE لهذه الملفات خلال عملية الاسترداد، يتم تفعيل سلوك يسمح بفتح واجهة shell.
• من خلال هذه الواجهة يمكن الوصول إلى وحدة التخزين الخاصة بالنظام، وقد يصبح القرص المحمي بـBitLocker قابلاً للوصول.

وبذلك يمكن للمهاجم الوصول إلى بيانات يفترض أن تبقى مشفرة ومحمية.

لماذا تظل هجمات الوصول الفيزيائي خطيرة

رغم أن الثغرة تتطلب وصولًا فعليًا للجهاز، فإن هذا النوع من السيناريوهات يحدث كثيرًا في الواقع، مثل:

• سرقة أو فقدان الحواسيب المحمولة
• مصادرة الأجهزة أثناء السفر أو التفتيش
• أجهزة العمل غير المراقبة
• أجهزة الفروع أو الأكشاك العامة

وتكون المخاطر أعلى عندما يتم استخدام BitLocker مع فتح تلقائي عبر TPM فقط، حيث قد يتم فك تشفير القرص تلقائيًا أثناء الإقلاع دون الحاجة إلى إدخال المستخدم لأي رمز.

إجراءات التخفيف التي أوصت بها مايكروسوفت

عند الإعلان عن الثغرة، أكدت مايكروسوفت المشكلة لكنها لم تصدر إصلاحًا نهائيًا بعد، وقدمت بدلاً من ذلك مجموعة من إجراءات التخفيف للمسؤولين عن الأنظمة.

1. إزالة إدخال autofstx.exe من BootExecute

توصي مايكروسوفت بإزالة إدخال autofstx.exe من قيمة BootExecute في سجل صورة WinRE. هذه الخطوة تمنع آلية إعادة تشغيل معاملات NTFS التي يعتمد عليها الاستغلال.

2. استخدام BitLocker مع TPM + PIN

تنصح الشركة بتفعيل TPM + PIN بدل الاعتماد على TPM فقط. في هذه الحالة يحتاج الجهاز إلى رمز PIN أثناء الإقلاع، ما يقلل احتمال تمكن مهاجم يمتلك الجهاز من الوصول إلى القرص.

3. تشديد إعدادات الإقلاع والاسترداد

إجراءات إضافية لتعزيز الحماية تشمل:

• تعطيل أو تقييد الإقلاع من USB أو وسائط خارجية
• حماية إعدادات UEFI/BIOS بكلمة مرور قوية
• إبقاء Secure Boot مفعلاً
• مراقبة أي تغييرات في إعدادات WinRE أو تكوين الإقلاع

هذه الإجراءات تقلل من فرص وصول المهاجم إلى بيئة الاسترداد المطلوبة لتنفيذ الهجوم.

الباحث الذي كشف الثغرة

تم الكشف عن YellowKey من قبل باحث أمني يستخدم الأسماء المستعارة Chaotic Eclipse وNightmare‑Eclipse، حيث نشر كود إثبات مفهوم يوضح طريقة الاستغلال.

وجاء الكشف ضمن سلسلة تقارير عن ثغرات في Windows من الباحث نفسه، تضمنت أيضًا ثغرات يوم‑صفر أخرى تستهدف مكونات مختلفة في منتجات مايكروسوفت.

وغالبًا ما يشير خبراء الأمن إلى أن نشر كود إثبات المفهوم يجعل استغلال الثغرات أسهل للجهات الخبيثة قبل صدور التصحيحات الرسمية.

ما الذي يجب على المؤسسات مراقبته

حتى إصدار إصلاح رسمي، يُنصح فرق الأمن بمتابعة مؤشرات قد تدل على محاولة استغلال، مثل:

• عمليات إقلاع غير متوقعة إلى Windows Recovery Environment
• تغييرات في صور WinRE أو إعداد BootExecute
• تعديل ترتيب الإقلاع أو أقسام EFI أو إعدادات Secure Boot
• محاولات الإقلاع عبر USB غير المصرح بها
• تغييرات غير متوقعة في إعدادات BitLocker أو TPM

مراقبة هذه المؤشرات يمكن أن تساعد في اكتشاف محاولات التلاعب بسلسلة الإقلاع أو الاسترداد المرتبطة بهذا الهجوم.

الدرس الأوسع حول تشفير الأقراص

تكشف ثغرة YellowKey مبدأ مهمًا في أمن المعلومات: تشفير القرص الكامل وحده لا يكفي إذا تمكن المهاجم من التحكم في عملية الإقلاع أو بيئة الاسترداد.

فمكونات مثل محمل الإقلاع (Boot Loader)، والبرامج الثابتة (Firmware)، وبيئات الاسترداد تشكل جميعها جزءًا من حدود الثقة في النظام. وأي ضعف في هذه السلسلة قد يقوض الحماية التي يوفرها التشفير.

لذلك، تعتمد المؤسسات عادة على مزيج من المصادقة قبل الإقلاع، وحماية إعدادات العتاد، وسياسات الإقلاع الصارمة إلى جانب التشفير، خاصة حتى تصدر مايكروسوفت إصلاحًا كاملاً للثغرة CVE‑2026‑45585.