Le mystérieux bug de Microsoft maintient le Zero Day à venir

Le chercheur anonyme en sécurité qui a déjà exposé de manière malveillante trois Windows Zero Day cette année en a révélé deux autres, les abandonnant juste après la mise à jour mensuelle du Patch Tuesday de Microsoft.

Nightmare-Eclipse, ou Chaotic Eclipse, selon le pseudonyme que vous préférez, a publié des détails sur YellowKey et GreenPlasma – respectivement un contournement de BitLocker et une faille d’élévation de privilèges, donnant l’accès au SYSTÈME aux attaquants.

Des experts s’adressant à Le registre a averti que les deux vulnérabilités présentent de sérieux problèmes de sécurité, d’autant plus que Nightmare-Eclipse a publié des informations techniques substantielles sur leur exploitation.

Nightmare-Eclipse a décrit YellowKey comme « l’une des découvertes les plus folles que j’ai jamais trouvées ». Ils ont fourni les fichiers, qui doivent être chargés sur une clé USB, et si l’attaquant complète correctement la séquence de touches, il obtient un accès shell sans restriction à une machine protégée par BitLocker.

Lorsqu’il s’agit de réclamations comme celles-ci, nous faisons généralement preuve d’une certaine prudence, car ce bug nécessite un accès physique à un PC Windows. Cependant, étant donné que BitLocker constitue la dernière ligne de défense de Windows contre les appareils volés, le contournement de la technologie permet aux voleurs d’accéder aux fichiers cryptés.

Rik Ferguson, vice-président du renseignement de sécurité chez Forescout, a déclaré : « Si (l’affirmation du chercheur) tient, un ordinateur portable volé cesse d’être un problème matériel et devient une notification de violation. »

Malgré l’exigence d’accès physique, Gavin Knapp, responsable principal du renseignement sur les cybermenaces chez Bridewell, a déclaré Le registre que YellowKey reste « un énorme problème de sécurité pour les organisations utilisant BitLocker ».

Citant des informations partagées dans les cercles de renseignement sur les cybermenaces, il a ajouté que YellowKey peut être atténué en mettant en œuvre un code PIN BitLocker et un verrouillage par mot de passe du BIOS.

Nightmare-Eclipse a laissé entendre que YellowKey agissait également comme une porte dérobée, prétendument injectée par Microsoft, bien que les personnes à qui nous avons parlé ont déclaré que cela était impossible à vérifier sur la base des informations disponibles.

Le chercheur a également publié un code d’exploitation partiel pour GreenPlasma, plutôt qu’un exploit de preuve de concept (PoC) entièrement formé.

Ferguson a noté que les attaquants doivent prendre le code fourni par le chercheur et trouver comment le transformer eux-mêmes en arme, ce qui n’est pas une mince affaire : dans son état actuel, il déclenche une invite de consentement UAC dans les configurations Windows par défaut, ce qui signifie qu’un exploit silencieux reste un travail en cours.

Knapp a averti que ces types de failles d’élévation de privilèges sont souvent utilisées par les attaquants après avoir pris pied dans le système d’une victime.

« Ces vulnérabilités d’élévation de privilèges sont souvent utilisées après l’exploitation pour permettre aux acteurs malveillants de découvrir et de récolter des informations d’identification et des données, avant de passer latéralement à d’autres systèmes, avant d’atteindre des objectifs finaux tels que le vol de données et/ou le déploiement de ransomwares », a-t-il déclaré.

« Actuellement, il n’existe aucune mesure d’atténuation connue pour GreenPlasma. Il sera important de mettre à jour le correctif lorsque Microsoft aura résolu le problème. »

Quatre, cinq… et plus ?

YellowKey et GreenPlasma sont les derniers d’une série de cinq bogues Microsoft Zero Day que le chercheur a révélés cette année.

Lorsque Nightmare-Eclipse a publié BlueHammer (CVE-2026-32201, 6.5) – corrigé par Microsoft en avril – ils ont été décrits comme un chercheur mécontent qui, selon la rumeur, était depuis un ancien employé de Microsoft.

Selon leur premier article de blog sous le pseudonyme Chaotic Eclipse, la fuite de bug a commencé après une prétendue violation de confiance.

« Je n’ai jamais voulu rouvrir un blog et un nouveau compte GitHub pour supprimer du code », ont-ils écrit. « Mais quelqu’un a violé notre accord et m’a laissé sans abri et sans rien. Ils savaient que cela allait arriver et ils m’ont quand même poignardé dans le dos, c’est leur décision, pas la mienne. »

Début avril, le chercheur a divulgué un code de validation de principe pour les exploits de Windows Defender qu’ils ont appelés RedSun et UnDefend – un autre bug d’élévation des privilèges d’administrateur et une faille de déni de service, respectivement – ainsi que BlueHammer.

RedSun et UnDefend ne sont toujours pas corrigés et, selon Huntress, le code de validation de principe publié a été rapidement récupéré et utilisé de manière abusive lors d’attaques réelles.

Ferguson a décrit la révélation de YellowKey et de GreenPlasma comme la dernière d’une campagne de représailles croissante contre Microsoft, et a mis en garde contre d’autres à venir.

« Les versions précédentes incluent BlueHammer et RedSun, qui ont toutes deux attiré l’attention de la communauté et de véritables forks », a-t-il déclaré.

« Le même message reliant les versions d’hier met en garde contre une autre surprise du Patch Tuesday et fait allusion à de futures révélations du RCE. Ils prétendent avoir un interrupteur d’homme mort avec d’autres prêts à fonctionner. Ce chercheur a donné suite à toutes les menaces précédentes. » ®