El ataque de «downgrade» de BitUnlocker elude el BitLocker de Windows 11 que solo funciona con TPM en menos de 5 minutos

Investigadores de seguridad de Intrinsec lanzaron "BitUnlocker", una herramienta que evita el cifrado BitLocker de Windows 11 en menos de cinco minutos. Este exploit aprovecha un ataque de degradación para abrir unidades, explotando la brecha entre el parcheo de software y la revocación de certificados. Enraizado en CVE-2025-48804, una vulnerabilidad parcheada en julio de 2025, la falla reside dentro del mecanismo de la imagen de despliegue del sistema y el entorno de recuperación de Windows. Aquí está la buena noticia: un atacante necesita acceso físico a la máquina de destino.

Los atacantes con acceso físico pueden usar una unidad flash para alimentar al administrador de arranque con un archivo legítimo de formato de imagen de Windows para verificaciones de integridad mientras agregan una carga útil maliciosa. El sistema verifica el archivo limpio, pero arranca ciegamente el código del atacante, otorgando acceso al volumen descifrado. El verdadero peligro está en el vector de degradación. Debido a que el certificado de Windows PCA 2011 heredado de Microsoft sigue siendo de confianza global de Secure Boot, los atacantes simplemente cargan un gestor de arranque más antiguo y vulnerable, que el sistema autentica sin dudarlo.

Para los entusiastas de las PC que confían únicamente en las configuraciones predeterminadas de TPM, esta es una llamada de despertador. Cuando se ejecuta el gestor de arranque degradado, el TPM verifica las mediciones del sistema contra el certificado PCA 2011 de confianza. Al no encontrar anomalías, revela a la perfección la tecla maestra de volumen de BitLocker sin activar ninguna alarma. La mayor mitigación, por supuesto, es la necesidad de acceso físico. Los sistemas configurados con un TPM y un PIN previo al arranque son completamente inmunes, ya que el hardware exige interacción física para liberar claves. Además, las máquinas que finalizaron la migración de actualización KB5025885 al moderno certificado de seguridad digital Windows UEFI CA 2023 están protegidas de esta ruta de degradación.

Fuente: Noticias de ciberseguridad