YellowKey (CVE‑2026‑45585): Celah BitLocker yang Bisa Membuka Enkripsi lewat WinRE

Tidak seperti banyak serangan siber lainnya, eksploitasi YellowKey memerlukan akses fisik ke perangkat. Penyerang harus bisa me-reboot komputer dan berinteraksi dengan proses boot atau lingkungan pemulihan sistem.

Meski terdengar terbatas, skenario ini cukup realistis dalam praktik — misalnya pada laptop yang dicuri, perangkat kantor yang tidak diawasi, atau sistem di lokasi cabang.

Cara Kerja Eksploit YellowKey

Proof‑of‑concept (PoC) yang dipublikasikan menunjukkan bahwa serangan ini memanfaatkan perilaku tertentu dalam Windows Recovery Environment (WinRE) — komponen bawaan Windows yang digunakan untuk memperbaiki instalasi sistem yang bermasalah.

Secara sederhana, alurnya seperti ini:

• Penyerang menyiapkan USB drive atau partisi EFI yang berisi file FsTx (Transactional NTFS) yang telah dimodifikasi secara khusus.
• Sistem target kemudian di‑reboot ke WinRE.
• Saat WinRE memproses file tersebut sebagai bagian dari rutinitas pemulihan, eksploit dapat memicu perilaku yang menghasilkan akses shell ke penyimpanan sistem.
• Karena cara WinRE menangani status filesystem saat pemulihan, volume yang dilindungi BitLocker bisa menjadi dapat diakses dari shell tersebut.

Dalam praktiknya, kondisi ini dapat membuat data yang seharusnya terenkripsi menjadi dapat diakses selama proses recovery berlangsung.

Mengapa Serangan dengan Akses Fisik Tetap Berbahaya

Serangan yang membutuhkan akses fisik sering dianggap kurang serius dibanding serangan jarak jauh. Namun di dunia nyata, situasi ini sering terjadi, misalnya:

• laptop hilang atau dicuri
• perangkat disita sementara saat perjalanan
• workstation yang ditinggalkan tanpa pengawasan
• sistem di kantor cabang atau kios

Risiko menjadi lebih besar jika organisasi menggunakan BitLocker dengan metode unlock TPM saja. Dalam konfigurasi ini, disk dapat terbuka otomatis saat boot tanpa memerlukan input dari pengguna.

Mitigasi yang Direkomendasikan Microsoft

Saat kerentanan ini dipublikasikan, Microsoft belum merilis patch penuh. Sebagai gantinya, perusahaan menyediakan beberapa langkah mitigasi sementara bagi administrator sistem.

1. Hapus entri autofstx.exe dari BootExecute

Administrator disarankan untuk menghapus entri autofstx.exe dari nilai registry BootExecute pada image WinRE. Langkah ini menghentikan mekanisme replay Transactional NTFS yang digunakan oleh eksploit.

2. Gunakan BitLocker dengan TPM + PIN

Microsoft juga merekomendasikan penggunaan autentikasi TPM + PIN untuk BitLocker, bukan TPM saja. Dengan metode ini, pengguna harus memasukkan PIN sebelum sistem boot sehingga penyerang dengan akses fisik tidak bisa langsung membuka disk.

3. Perketat pengaturan boot dan recovery

Sebagai langkah keamanan tambahan, organisasi juga disarankan untuk:

• menonaktifkan atau membatasi boot dari USB atau media eksternal
• melindungi UEFI/BIOS dengan password administrator yang kuat
• memastikan Secure Boot tetap aktif
• memantau perubahan pada WinRE atau konfigurasi boot

Langkah‑langkah ini membantu mencegah penyerang mencapai lingkungan pemulihan yang diperlukan untuk menjalankan eksploit.

Peneliti di Balik YellowKey

Kerentanan ini diungkap oleh peneliti keamanan yang menggunakan alias Chaotic Eclipse atau Nightmare‑Eclipse, yang juga merilis kode proof‑of‑concept yang menjelaskan teknik eksploitasi tersebut.

Pengungkapan ini merupakan bagian dari rangkaian laporan kerentanan Windows dari peneliti yang sama, termasuk beberapa zero‑day lain yang menargetkan komponen Microsoft.

Banyak pakar keamanan menekankan bahwa ketika kode PoC dipublikasikan, risiko eksploitasi biasanya meningkat karena lebih banyak pihak dapat mempelajari dan mereplikasi teknik tersebut sebelum vendor merilis patch resmi.

Hal yang Perlu Dipantau Tim Keamanan

Sampai patch resmi tersedia, tim keamanan TI sebaiknya memonitor tanda‑tanda yang dapat menunjukkan upaya eksploitasi, seperti:

• sistem yang tiba‑tiba boot ke Windows Recovery Environment
• perubahan pada image WinRE atau nilai BootExecute
• modifikasi pada boot order, partisi EFI, atau konfigurasi Secure Boot
• percobaan boot dari USB yang tidak sah
• perubahan tak terduga pada pengaturan BitLocker atau TPM

Pemantauan indikator‑indikator ini dapat membantu mendeteksi upaya manipulasi pada proses boot atau recovery yang terkait dengan serangan YellowKey.

Pelajaran Penting tentang Enkripsi Disk

Kasus YellowKey menegaskan satu prinsip penting dalam keamanan sistem: enkripsi disk penuh tidak cukup jika rantai boot dan recovery dapat dimanipulasi.

Boot loader, firmware, dan lingkungan pemulihan merupakan bagian dari trust chain yang sama dengan mekanisme enkripsi. Jika salah satu komponen tersebut memiliki kelemahan, perlindungan yang diberikan oleh enkripsi dapat ikut terpengaruh.

Bagi organisasi yang menggunakan BitLocker, kombinasi enkripsi, autentikasi pra‑boot, perlindungan firmware, serta kontrol boot yang ketat tetap menjadi praktik terbaik sampai Microsoft merilis perbaikan penuh untuk CVE‑2026‑45585.