LONDON (IT BOLTWISE) – Ein neuer BitLocker-Bypass namens GreatXML nutzt WinRE-Umwege über XML-Dateien in der Wiederherstellungspartition, um den Zugriff auf die verschlüsselte Platte zu umgehen. Der Security-Researcher Chaotic Eclipse beschreibt einen Zusammenhang mit Windows Defender Offline Scan und veröffentlicht ein Schritt-für-Schritt-Verfahren, das am Ende einen Shell-Zugriff mit erweiterten Rechten liefert. Die Veröffentlichung kommt kurz nach einem weiteren Microsoft-Defender-Problem (RoguePlanet) und direkt im Umfeld von Patch-Tuesday-Updates. Für Unternehmen bedeutet das: Schutzprozesse rund um Recovery-Medien, Offlinescans und Hardening müssen dringend überprüft werden.
Mit GreatXML ist ein weiterer Weg aufgetaucht, wie sich Windows-Umgebungen trotz BitLocker-Verschlüsselung in Richtung unautorisierten Zugriffs bewegen können. Auffällig ist dabei weniger die klassische „Schlüssel auslesen“-Erzählung, sondern der Umstand, dass der Angriff über die Wiederherstellungslogik des Systems läuft: WinRE (Windows Recovery Environment) wird als Bühne genutzt, um eine Shell mit weitgehend uneingeschränktem Zugriff auf das BitLocker-Volume zu starten. Der Security-Researcher Chaotic Eclipse macht zudem einen konkreten Trigger aus, der im Zusammenhang mit dem Windows Defender Offline Scan stehen soll und damit vor allem bei kontrollierten Unternehmens-Workflows relevant wird.
Technisch setzt der Angriff auf eine präzise Manipulation von Dateien in der Recovery-Partition. Laut veröffentlichtem Ablauf werden zunächst eine XML-Datei (genannt „unattend.xml“) sowie ein zweites XML-Element aus einem Recovery-Ordner (genannt „Recovery/WindowsRE/ReAgent.xml“) in das Wurzelverzeichnis der Wiederherstellungspartition kopiert. Anschließend wird das System nicht normal gestartet, sondern gezielt in WinRE überführt, indem man beim Neustart Shift gedrückt hält und im Windows-Power-Menü den Neustart wählt. Wenn die Schritte wie beschrieben korrekt durchlaufen, entsteht aus dem Recovery-Kontext heraus ein Prozess, der letztlich eine Shell startet, die auf das BitLocker-Volume zugreifen kann.
Besonders kritisch ist der Hinweis, dass der Angriffsweg offenbar durch das automatische Verhalten von Defender Offline Scan in Gang gesetzt werden kann. Chaotic Eclipse berichtet, dass bereits ohne „manuelle“ Nacharbeit eine Vulnerabilität gegeben sein kann, wenn zuvor ein Offline Scan angestoßen wurde. Für Sicherheitsverantwortliche verschiebt sich dadurch die Betrachtung: Nicht nur die Recovery-Partition selbst, sondern auch der gesamte Lifecycle rund um geplante oder automatisierte Defenderscans kann eine Rolle spielen. Praktisch heißt das, dass Systeme, die regelmäßig in einem Workgroup- oder Enterprise-Schedule Offline Scans ausführen, in der Bedrohungsmodellierung stärker gewichtet werden sollten als gedacht.
Im Marktumfeld kommt GreatXML nicht isoliert. Wenige Zeit davor wurde mit RoguePlanet ein Zero-Day in Microsoft Defender öffentlich diskutiert, der lokale Privilegieneskalation bis hin zu SYSTEM ermöglichen kann. Und GreatXML ist bereits der zweite BitLocker-Bypass aus demselben Forschungsrahmen: Zuvor hatte Chaotic Eclipse YellowKey (CVE-2026-45585) als weiteren Umgehungsweg vorgestellt, dessen Behebung laut Angaben der Quelle in aktuellen Patch-Tuesday-Updates adressiert wurde. In der Summe entsteht ein Muster, das für Unternehmen kaufmännisch wie technisch zählt: Microsofts Security-Komponenten sind für Angriffsflächen besonders relevant, weil sie tief im Systembetrieb verankert sind.
Experten in der Branche betonen in solchen Phasen häufig, dass sich „Patchen“ und „Hardening“ gegenseitig ergänzen müssen. Ein Patch kann eine konkrete Fehlerkette schließen, aber Recovery- und Boot-Mechanismen bleiben ein Bereich, in dem jedes unerwartete Dateimapping oder jede fehlende Integritätsprüfung schnell zu Extremfällen führt. Gleichzeitig verdeutlichen solche Meldungen, wie stark die angreifbare Oberfläche von der Bedien- und Administrationspraxis abhängt: Wer Recovery-Medien verwaltet, Offline Scans automatisiert oder Devices in Szenarien mit geringer physischer Kontrolle einsetzt, erhöht indirekt die Wahrscheinlichkeit, dass ein Proof-of-Concept in der realen Welt anwendbar wird. In diesem Kontext ist die Kombination aus Defender und WinRE ein wichtiger Vergleichspunkt gegenüber rein OS-internen Angriffswegen.
Für die nächsten Wochen sollten Unternehmen deshalb mehrere Ebenen prüfen. Erstens: Welche Defender Offline Scans werden wo und wie ausgelöst, etwa über Endpoint-Management, GPO oder Security-Orchestrierung? Zweitens: Wie wird die Integrität der Recovery-Partition überwacht und welche Zugriffskanäle existieren, um Dateien im Recovery-Root überhaupt verändern zu können? Drittens: Welche Prozesse regeln das Bootverhalten in Notfallszenarien, insbesondere die Nutzung von Shift+Restart und der Übergang nach WinRE? Aus regulatorischer und Compliance-Sicht ist das heikel, weil solche Angriffe zwar „nur“ technische Kontrollen betreffen, aber faktisch den Schutz verschlüsselter Daten unterlaufen könnten.
Der Ausblick ist klar: Angreifer verlagern sich erkennbar auf Boot- und Recovery-Pfade, weil sie ein gutes Verhältnis aus Wirkung und Kontrolle bieten. Aus historischer Sicht kennen wir ähnliche Dynamiken bereits aus früheren Wellen rund um UEFI/Boot-Chain-Manipulation und aus dem Zusammenspiel von Security-Tools mit Systemzuständen. Für Entwickler und Security-Teams bedeutet das, dass Schutzarchitekturen künftig stärker als „End-to-End“-Modelle betrachtet werden müssen, in denen Offlinescan-Logik, Recovery-Konfiguration und Datei-Integrität gemeinsam evaluiert werden. Sobald weitere Details zur Ausnutzbarkeit ohne vorherigen Offline Scan auftauchen, wird sich auch die Priorisierung in Ticket-Backlogs und Incident-Playbooks weiter verschieben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GreatXML: BitLocker-Bypass über WinRE-XML-Dateien – was Unternehmen jetzt tun sollten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GreatXML: BitLocker-Bypass über WinRE-XML-Dateien – was Unternehmen jetzt tun sollten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GreatXML: BitLocker-Bypass über WinRE-XML-Dateien – was Unternehmen jetzt tun sollten« bei Google Deutschland suchen, bei Bing oder Google News!