Um novo zero-day chamado GreatXML burla a criptografia BitLocker do Windows em poucos segundos, sem quebrar nenhuma chave e sem que o sistema acione nenhum alerta. O exploit abusa do recurso de verificação offline do Microsoft Defender para abrir uma shell com privilégios máximos no volume criptografado. Não há CVE, não há patch, e o código-fonte já está espelhado no GitHub. A única defesa eficaz é mudar a configuração do BitLocker para exigir PIN no boot.

O que é o GreatXML

GreatXML é um proof-of-concept público publicado em 10 de junho de 2026 por um pesquisador sob o pseudônimo Chaotic Eclipse (também conhecido como MSNightmare). O exploit burla a criptografia BitLocker do Windows sem quebrar nenhuma chave criptográfica. Em vez disso, ele abusa da interação entre o Windows Recovery Environment (WinRE) e o recurso de verificação offline do Microsoft Defender.

O nome vem do arquivo malicioso no centro do ataque: um unattend.xml manipulado que, quando processado pelo WinRE, executa comandos com privilégios máximos de SYSTEM — sem autenticação, sem chave de recuperação e sem que o BitLocker acione nenhum alerta.

A Cyderes Howler Cell confirmou o funcionamento do exploit em um Windows 11 totalmente atualizado. Não há CVE atribuído, não há correção da Microsoft, e o código já está espelhado em múltiplos repositórios GitHub.

Como o ataque funciona

A cadeia de exploração tem quatro passos, e todos dependem de uma premissa simples: o alvo já usou o recurso de verificação offline do Defender pelo menos uma vez. Essa verificação é um procedimento comum em investigações de malware — a equipe de segurança da empresa reinicia a máquina em um ambiente pré-boot para escanear o disco antes que o Windows carregue.

Quando isso acontece, o WinRE entra em um estado operacional específico que altera como processa arquivos na partição de recuperação. Esse estado permanece indefinidamente, mesmo após a verificação terminar.

Um atacante com acesso físico breve copia dois componentes para o root da partição de recuperação: o unattend.xml malicioso e um diretório Recovery modificado. Na próxima vez que alguém segurar Shift e clicar em Reiniciar — algo possível até na tela de bloqueio — o WinRE inicializa com uma shell administrativa no volume criptografado.

O comando manage-bde -status C: no PoC mostra o disco 100% criptografado com XTS-AES 128 e proteção ativa. Mesmo assim, todos os arquivos estão acessíveis. A criptografia nunca é desativada — ela simplesmente deixa de importar.

TPM-sozinho não protege

Configuração TPM-only é o padrão em milhares de notebooks corporativos brasileiros. O drive desbloqueia automaticamente no boot sem exigir PIN do usuário. É prático, mas inútil contra o GreatXML.

O motivo é direto: o caminho pelo WinRE nunca solicita uma chave de recuperação. Como o TPM já desbloqueou o volume para o ambiente de recuperação, o atacante entra direto na shell SYSTEM. Não há segunda camada de verificação.

A Zero Day Wire detalhou que o mecanismo coloca o exploit na mesma classe do YellowKey (CVE-2026-45585), que também usava o recovery environment para acessar volumes criptografados. O YellowKey já recebeu correção e orientação oficial de mitigação da Microsoft, mas o GreatXML segue sem patch.

O cluster de exploits Nightmare-Eclipse

GreatXML não é um incidente isolado. É o oitavo exploit publicado pelo mesmo pesquisador em dez semanas. A tabela abaixo resume os principais:

Nome CVE Componente afetado Impacto Patch
BlueHammer CVE-2026-33825 Windows Defender Evasão do EDR Sim
UnDefend CVE-2026-45498 Windows Defender Desativação do Defender Sim
RoguePlanet Sem CVE Windows Defender Escalada para SYSTEM Não
YellowKey CVE-2026-45585 WinRE / BitLocker Bypass do BitLocker Parcial
GreenPlasma Sem CVE WinRE / BitLocker Acesso SYSTEM + bypass Não
GreatXML Sem CVE Defender Offline / WinRE Bypass do BitLocker Não

Seis dos sete exploits anteriores atingem componentes que a Microsoft posiciona como garantias defensivas. A sequência mapeia uma cadeia de ataque completa contra o Windows: da evasão do EDR ao acesso total ao disco criptografado. A RoguePlanet, que já cobrimos aqui, escalava privilégios no Defender para SYSTEM. O GreatXML completa o kit.

Patch Tuesday de junho não resolveu

O Patch Tuesday de junho de 2026 foi o maior da história do programa, com 206 CVEs corrigidos — incluindo três zero-days sob exploração ativa. Como detalhamos na cobertura anterior, o volume de falhas quebrou recordes.

Dos três zero-days corrigidos, o CVE-2026-50507 abordou um bypass do BitLocker por acesso físico (CVSS 6.8). Mas esse patch é diferente do GreatXML. O CVE-2026-50507 trata de um problema de autenticação ausente na função de bypass. O GreatXML aborda um vetor distinto: a manipulação do estado do WinRE após verificação offline do Defender. Não há sobreposição de correção.

A CISA adicionou o CVE-2026-41091 (escalação de privilégios no Defender) ao seu catálogo KEV em 20 de maio, semanas antes do patch. Agências federais americanas tiveram prazo até 3 de junho para remediar. O contexto é relevante para organizações brasileiras que seguem frameworks como CIS Controls ou NIST CSF.

O que fazer agora

Não há patch para o GreatXML. A mitigação é uma mudança de configuração que pode ser aplicada hoje, independente da Microsoft.

1. Ative TPM+PIN no BitLocker. Essa é a defesa mais eficaz. Com um PIN de boot obrigatório, o WinRE não consegue acessar automaticamente o volume criptografado, mesmo com a shell SYSTEM. Em empresas, use manage-bde -protectors -add C: -TPMAndPIN e distribua a política via GPO.

2. Restrinja acesso físico. O ataque exige mãos na máquina. Notebooks corporativos em ambientes com acesso irrestrito (recepções, salas de reunião, coworking) são os alvos primários. Gabinetes com fechadura e políticas de “não deixar notebook desacompanhado” reduzem o risco de forma direta.

3. Auditorie a partição de recuperação. Verifique a existência de arquivos unattend.xml inesperados no root da partição de recuperação e de diretórios Recovery modificados. Essas são as assinaturas em disco da técnica.

4. Mitigue o YellowKey como complemento. A IT-Connect publicou o procedimento completo de mitigação do YellowKey, que envolve montar a imagem WinRE e remover a entrada autofstx.exe do registro. Aplica o comando reagentc /disable seguido de reagentc /enable para reconstruir a confiança do BitLocker na imagem de recuperação.

Impacto para o Brasil

Empresas brasileiras com notebooks corporativos usando TPM-only são alvos diretos. O cenário é particularmente preocupante para organizações que lidam com dados sensíveis — escritórios de advocacia, setor financeiro, saúde e órgãos públicos. O theft de notebook com dados criptografados era uma preocupação controlada enquanto o BitLocker funcionasse. O GreatXML torna essa premissa obsoleta.

O exploit também tem implicações forenses. A Cyderes observou que o GreatXML é uma ferramenta pós-comprometimento, não um vetor de acesso inicial. Um atacante que conquista privilégios de administrador uma vez pode plantar os arquivos e sair. Rotação de credenciais, resets de senha e perda de acesso remoto não removem os artefatos. Qualquer pessoa com acesso físico posterior pode executar o ataque.

Referências

Leia também