Tính năng “cứu hộ” của Windows lại trở thành cánh cửa cho hacker đánh cắp dữ liệu

Tại sự kiện Black Hat USA 2025 và DEF CON 33, nhóm Security Testing & Offensive Research (STORM) của Microsoft đã tiết lộ một loạt lỗ hổng mới trong Windows Recovery Environment (WinRE). Kẻ tấn công có thể khai thác các lỗ hổng này để vượt qua BitLocker và đánh cắp dữ liệu đã được bảo vệ.

Điều đáng lo ngại là WinRE là một trong những tính năng cốt lõi của Windows, có thể truy cập dễ dàng bằng cách giữ phím Shift và chọn Restart ngay từ màn hình đăng nhập Windows.

BitLocker là gì?

BitLocker (hay còn gọi là Device Encryption – DE) là tính năng mã hóa toàn bộ ổ đĩa của Windows, giúp bảo vệ dữ liệu trước nguy cơ bị truy cập trái phép, đặc biệt là trong trường hợp thiết bị rơi vào tay kẻ xấu.

Sau khi BitLocker ra mắt, Microsoft đã thay đổi WinRE để vẫn có thể khôi phục hệ thống ngay cả khi ổ đĩa hệ điều hành đã được mã hóa. Các thay đổi bao gồm:

• Di chuyển tệp WinRE.wim từ phân vùng hệ điều hành được mã hóa sang phân vùng khôi phục không mã hóa để có thể truy cập khi gặp sự cố.
• Triển khai Trusted WIM Boot nhằm xác minh tệp WinRE trước khi tự động mở khóa ổ đĩa hệ điều hành.
• Thêm cơ chế khóa lại ổ đĩa nếu người dùng mở các công cụ “nguy hiểm” như Command Prompt, yêu cầu nhập lại khóa khôi phục BitLocker để truy cập.

Tuy nhiên, nhóm STORM cho biết sau khi Trusted WIM Boot vượt qua bước xác thực, WinRE sẽ ở trạng thái auto-unlock, cho phép đọc dữ liệu từ các phân vùng không bảo vệ, như phân vùng EFI hoặc phân vùng khôi phục. Chính quá trình này đã vô tình mở ra nhiều lỗ hổng mới.

Để phòng tránh, Microsoft khuyến nghị người dùng: Bật TPM kèm mã PIN để xác thực trước khi khởi động, giảm phụ thuộc vào cơ chế auto-unlock. Đồng thời kích hoạt biện pháp REVISE (KB5025885) để ngăn chặn tấn công hạ cấp (downgrade attack).

Những lỗ hổng này hiện đang được theo dõi với các mã định danh CVE-2025-48800, CVE-2025-48003, CVE-2025-48804 và CVE-2025-48818, và đã được vá trên Windows 11 và Windows 10 với bản vá Patch Tuesday tháng 7 năm 2025. Vì các bản vá được tích lũy, bạn cũng có thể tải xuống và cài đặt bản Patch tháng 8 mới nhất cho Windows 11 (KB5063878, KB5063875) và Windows 10 (KB5063709/KB5063877/KB5063871/KB5063889) đã được phát hành gần đây