Investigadores de la empresa de seguridad Intrinsec presentaron recientemente una herramienta llamada "BitUnlocker" que puede eludir el cifrado de disco BitLocker de Windows 11 en menos de 5 minutos utilizando únicamente el modo de protección TPM (Módulo de plataforma segura). La herramienta explota el llamado "ataque de degradación" que aprovecha el lapso de tiempo entre el momento en que se parchea el software y se revocan los certificados antiguos. Al cargar componentes más antiguos pero aún confiables, finalmente abre un disco protegido con BitLocker.
Este ataque está relacionado con la vulnerabilidad de seguridad número CVE-2025-48804, que se encuentra en el mecanismo de procesamiento del Entorno de recuperación de Windows (Entorno de recuperación de Windows) y la Imagen de implementación del sistema (Imagen de implementación del sistema). Microsoft lanzó un parche en julio de 2025 para solucionarlo. Sin embargo, los investigadores señalaron que incluso si se parchea la vulnerabilidad, siempre que el sistema siga confiando en el certificado anterior, aún se puede evitar a través de la ruta de degradación.
A juzgar por las condiciones del ataque, BitUnlocker no es una herramienta de ataque remoto. El atacante primero debe obtener acceso físico al dispositivo objetivo. Por ejemplo, un atacante podría usar una unidad flash USB preparada previamente para proporcionar al Administrador de arranque de Windows un archivo de imagen de Windows (WIM) completamente formateado y firmado que pase la verificación de integridad durante la fase de arranque, al tiempo que incluye una carga útil maliciosa. Después de que el sistema verifica que el archivo de imagen está "limpio", continúa lanzando incondicionalmente el código malicioso que contiene, obteniendo así acceso al volumen descifrado.
La verdadera clave es que aprovecha el espacio "alternativo" en la cadena de certificados. Actualmente, Secure Boot todavía confía globalmente en el primer certificado raíz Windows PCA 2011 de Microsoft, lo que proporciona a los atacantes un espacio de degradación: pueden cargar una versión anterior del binario del administrador de arranque que contiene vulnerabilidades conocidas, y la versión anterior del archivo aún puede pasar la verificación de firma de Secure Boot y ser ejecutada por el sistema como un componente legítimo.
Este ataque es una dura advertencia para los usuarios habituales de PC y los entusiastas que dependen únicamente de la configuración predeterminada de TPM para usar BitLocker. Cuando se ejecuta el administrador de arranque heredado degradado, el TPM aún verifica las medidas de arranque de acuerdo con el proceso existente y las compara con el certificado PCA 2011 que aún es confiable. Dado que el entorno del sistema "parece normal" desde su perspectiva, el TPM desbloqueará la clave maestra de volumen de BitLocker sin ninguna anomalía y todo el proceso no activará ningún mecanismo de alarma.
Actualmente, el mayor "amortiguador" para esta cadena de ataques sigue siendo el requisito previo del contacto físico con el dispositivo. Para sistemas con TPM y configuración de PIN previa al arranque activados, ataques como BitUnlocker perderán alcance: TPM requiere pasos de entrada manual adicionales antes de liberar la clave. Mientras no se filtre el PIN, es difícil para un atacante físico completar todo el proceso de degradación y obtener la clave de descifrado.
Además, los dispositivos que completaron la actualización KB5025885 y migraron la cadena de confianza de arranque seguro al nuevo certificado digital Windows UEFI CA 2023 básicamente pueden bloquear esta ruta de degradación. En esta configuración, los componentes de inicio heredados que dependen de PCA 2011 ya no son confiables y no se pueden usar como puntos de entrada. Los investigadores enfatizaron que los usuarios y las empresas deben verificar lo antes posible si sus sistemas han completado las actualizaciones relevantes y, si las condiciones lo permiten, habilitar medidas de protección adicionales, como PIN previos al arranque, para reducir el riesgo de ataques físicos.
aprender más:
https://github.com/garatc/BitUnlocker