安全研究機構 Intrinsec 發布名為 BitUnlocker 的工具，可在不破解加密情況下，對已安裝最新更新的 Windows 11 裝置發動降級攻擊，在 5 分鐘內存取受 BitLocker 保護的硬碟。攻擊者只需擁有目標裝置的實體存取權限及一支 USB 手指，毋須任何專業硬件。
攻擊根源：修補與憑證撤銷間的空隙
這次攻擊的核心漏洞為 CVE-2025-48804，是 Microsoft 內部安全研究團隊 STORM 於 2025 年 7 月 Patch Tuesday 中修補的 4 個關鍵零日漏洞之一。漏洞位於 Windows 復原環境（WinRE）的 System Deployment Image（SDI）檔案處理機制。當開機管理程式驗證 SDI 指向的合法 WIM 映像時，攻擊者可同時在 SDI 的 blob 表中附加第二個受控 WIM，致使系統實際從含有惡意 cmd.exe 的 WinRE 映像啟動，此時 BitLocker 磁碟區已被解密並掛載。
然而真正令已修補裝置依然脆弱的關鍵，並非缺少更新，而是舊有簽署憑證從未被撤銷。Secure Boot 只驗證二進位檔案的簽署憑證，並不核查版本號碼。舊有的 Microsoft Windows PCA 2011 憑證，用於簽署 2025 年 7 月修補前所有開機管理程式，在絕大多數現役裝置的 Secure Boot 資料庫中仍屬受信任狀態。大規模撤銷 PCA 2011 對 Microsoft 而言是重大挑戰，因為此憑證簽署了生態系統內大量合法二進位檔案。
攻擊流程
BitUnlocker 的攻擊步驟如下：
1. 攻擊者準備一個修改過的 BCD（Boot Configuration Data）檔案並指向被竄改的 SDI
2. 透過 USB 手指或 PXE 伺服器提供舊版以 PCA 2011 簽署的開機管理程式
3. 目標裝置載入舊版開機管理程式，Secure Boot 驗證正常通過
4. TPM 釋放 BitLocker Volume Master Key，因為 PCR 7 及 PCR 11 量測值在受信任的 PCA 2011 憑證下依然有效
5. 系統開啟命令提示字元，作業系統磁碟區完全解密並掛載
僅使用 TPM（無 PIN 碼）且 Secure Boot 資料庫仍信任 PCA 2011 的裝置，屬於高風險族群。配置了 TPM + PIN 啟動前驗證的裝置可抵禦此攻擊，因為 TPM 在啟動前未獲用戶互動便不會解封 VMK。已完成 KB5025885 遷移、將開機管理程式簽署轉移至 Windows UEFI CA 2023 憑證的裝置，同樣可抵禦此降級攻擊路徑。
企業應對措施
由於 BitUnlocker 的 PoC 程式碼已在 GitHub 公開，企業資安團隊應立即採取以下行動：
1. 啟用 TPM + PIN 啟動前驗證。這是目前最有效的防護措施，防止 TPM 在任何被操控的開機程序中釋放 VMK
2. 部署 KB5025885，將開機管理程式的簽署憑證遷移至 CA 2023 並啟用撤銷控制機制
3. 掛載 EFI 磁碟分割，使用 sigcheck 工具確認 bootmgfw.efi 已由 CA 2023 簽署，而非舊有的 PCA 2011
4. 高安全性工作負載若無法強制執行啟動前驗證，應移除 WinRE 復原磁碟分割以縮小攻擊面
資料來源：Cyber Security News、Intrinsec
