GreatXML – BitLocker Bypass: Spiegazione Tecnica

Cos’è BitLocker e perché è rilevante

BitLocker è il sistema di cifratura del volume di Windows. L’obiettivo è che anche se un attaccante ha accesso fisico al disco, non possa leggere i dati senza la chiave. Un “bypass” significa ottenere accesso al volume cifrato senza conoscere la chiave.

Come funziona WinRE e dove nasce il problema

Disco tipico con BitLocker:
┌─────────────────────┬──────────────────────┬─────────────────────┐
│  Partizione EFI     │  Partizione Recovery │  Volume C: cifrato  │
│  (boot loader)      │  (WinRE, non cifrata)│  (BitLocker)        │
└─────────────────────┴──────────────────────┴─────────────────────┘

WinRE (Windows Recovery Environment) gira in una partizione separata e non cifrata. Deve poter accedere al volume principale per ripararlo — e qui sta il punto critico: ha privilegi speciali sul volume BitLocker.

Windows Defender Offline Scan è una modalità in cui il PC si riavvia in WinRE per scansionare il volume C: da fuori, in modo da rilevare malware che si nascondono durante il boot normale. Per farlo, WinRE deve sbloccare BitLocker automaticamente.

Il meccanismo dell’exploit (semplificato)

Stato normale:
  WinRE avvia → chiede PIN/chiave → BitLocker rimane chiuso

Stato dopo Defender Offline Scan (o manipolato):
  WinRE avvia → legge ReAgent.xml → "sono in modalità offline scan" 
             → sblocca automaticamente BitLocker → SHELL con accesso completo

I due file piazzati dall’attaccante:

/Recovery/unattend.xml          ← istruzioni di configurazione automatica
/Recovery/WindowsRE/ReAgent.xml ← dice a WinRE "sei in modalità offline scan"

Il file ReAgent.xml è quello critico: contiene lo stato dell’agente di recovery. Manipolandolo, si fa credere a WinRE di essere già stato avviato in modalità di scansione offline, triggherando lo sblocco automatico di BitLocker.

Vettore d’attacco realistico

Scenario fisico (es. laptop rubato):
1. Attaccante ha accesso fisico al dispositivo
2. Avvia da USB live → monta la partizione Recovery (non cifrata)
3. Copia i due XML nella recovery partition
4. Riavvia → Shift+Restart → WinRE
5. WinRE legge ReAgent.xml → pensa di dover fare offline scan
6. Sblocca BitLocker automaticamente
7. Shell con accesso al volume cifrato

Perché il dibattito sulla gravità

Will Dormann solleva un punto legittimo:

Scenario	Realistico?
Hai già accesso admin → avvii Defender Offline Scan	Sì, ma se sei già admin puoi disabilitare BitLocker direttamente
Senza mai avviare offline scan, pianti i file e aspetti	Richiede accesso fisico alla recovery partition
Funziona su Windows 11 recente?	Dormann dice no su 3 varianti testate

Il valore pratico dell’exploit è quindi principalmente in scenari di accesso fisico, non remoto — che è esattamente il threat model che BitLocker dovrebbe coprire.

Come studiarlo (approccio lab sicuro)

Setup consigliato:

Host (es. Linux/Windows)
└── VM Hyper-V o VMware
    ├── Windows 11 con BitLocker abilitato (TPM emulato)
    ├── Snapshot PRIMA di ogni test
    └── Rete isolata (NAT o host-only)

Percorso di studio:

Capire WinRE internamente
- Documentazione Microsoft: WinRE
- Analizza la struttura di ReAgent.xml su un sistema reale con reagentc /info
Studiare il formato XML di ReAgent # Su Windows, visualizza stato WinRE reagentc /info # Il file si trova tipicamente in: # C:\Windows\System32\Recovery\ReAgent.xml
Capire come BitLocker si integra con WinRE
- Studia i protectors: TPM, PIN, Recovery Key
- Comando: manage-bde -status
Replicare (solo in lab)
- VM con BitLocker + TPM virtuale
- Prova ad analizzare cosa cambia in ReAgent.xml dopo un Offline Scan
- Confronta XML prima/dopo con diff

Risorse:

ReAgent.xml schema
BitLocker internals – Microsoft docs
Repository GreatXML – per analisi del codice
Blog post originale del researcher: deadeclipse666.blogspot.com

Mitigazione attuale

Finché Microsoft non rilascia una patch specifica per GreatXML, le mitigazioni pratiche sono:

BitLocker con PIN pre-boot (non solo TPM): impedisce lo sblocco automatico
Protezione fisica della partizione Recovery dove possibile
Disabilitare WinRE se non necessario: reagentc /disable

Avviare WinRE

Puoi avviare WinRE (Windows Recovery Environment) in diversi modi, a seconda che il tuo PC riesca ad accedere a Windows o meno. Il metodo più rapido e comune è tramite il menu Start: tieni premuto il tasto MAIUSC (Shift) sulla tastiera e clicca su Riavvia. [1, 2, 3, 4]

Ecco i metodi principali spiegati passo dopo passo:

1. Da Windows avviato (Metodo più semplice)

Se riesci ad accedere al sistema operativo, puoi forzare il riavvio in modalità provvisoria e ripristino in un paio di click: [1, 2]

Tramite tasto MAIUSC: Vai su Start > clicca sull’icona Arresta > tieni premuto MAIUSC e clicca su Riavvia.
Tramite Impostazioni: Vai su Start > Impostazioni > Sistema > Ripristino. Alla voce Avvio avanzato, clicca su Riavvia ora. [1, 2, 3, 4]

2. Dalla schermata di Accesso

Se il PC si accende ma sei bloccato alla schermata di login (dove inserisci la password):

Clicca sull’icona Arresta in basso a destra.
Tieni premuto il tasto MAIUSC.
Clicca su Riavvia. [1, 2]

3. A PC bloccato o spento (Interruzione dell’avvio)

Se Windows non si avvia correttamente o mostra uno schermo nero, puoi forzare l’ingresso in WinRE: [1, 2, 3]

Accendi il PC tenendo premuto il pulsante di accensione (Power) per spegnerlo forzatamente non appena vedi il logo di Windows.
Ripeti questa operazione per 3 volte consecutive.
Al quarto tentativo, lascia che il computer si avvii: entrerà automaticamente nella schermata di Ripristino automatico. Clicca su Opzioni avanzate per accedere a WinRE. [1, 2, 3, 4]

4. Tramite supporti esterni (Chiavetta USB)

Se non riesci ad accedere in nessun altro modo:

Inserisci una chiavetta USB di ripristino (o il supporto d’installazione di Windows) e accendi il PC.
Avvia il computer dalla chiavetta (spesso premendo i tasti F12, F8 o Canc all’avvio per richiamare il menu di Boot).
Nella schermata iniziale d’installazione, clicca in basso su Ripristina il computer. [1, 2, 3, 4, 5]