Исследователь безопасности под псевдонимом Chaotic Eclipse (также известный как Nightmare-Eclipse и MSNightmare) опубликовал технические детали эксплойта под названием GreatXML, который предположительно позволяет обойти шифрование Windows BitLocker. По словам автора, на разработку и обнаружение ушло всего 4 часа, причём находка оказалась случайной. Примечательно, что буквально за день до этого тот же исследователь опубликовал отдельный эксплойт для Microsoft Defender.
Техника атаки строится на подброске двух вредоносных XML-файлов на раздел восстановления (Recovery Partition). Первый файл размещается в корне этого раздела (в тексте он фигурирует под именем "definitely.xml", хотя с высокой вероятностью реальное имя файла WdFilter.xml, исходя из архитектуры WinRE и механики Defender Offline). Второй файл — ReAgent.xml — помещается по пути Recovery/WindowsRE/. Этот файл является стандартным конфигурационным компонентом среды восстановления Windows (WinRE), и именно его подмена лежит в основе атаки.
Для запуска вектора атаки достаточно перезагрузить машину, удерживая Shift при нажатии «Перезагрузка» в меню питания Windows. По утверждению Chaotic Eclipse, после этого Windows автоматически входит в режим Microsoft Defender Offline Scan, обрабатывает подброшенные XML-файлы и обходит BitLocker. Исследователь указывает на одно обязательное условие: жертва хотя бы раз в прошлом должна была попытаться воспользоваться функцией Windows Defender Offline Scan. Если это условие выполнено, то, по его словам, пользователь автоматически уязвим. При этом сам автор честно признаётся, что не уверен, срабатывает ли уязвимость на системах, где Offline Scan не запускался никогда.
Это уже второй BitLocker-байпас от того же исследователя. Предыдущий, получивший название YellowKey и идентификатор CVE-2026-45585, был закрыт Microsoft в рамках последних обновлений Patch Tuesday. GreatXML на момент публикации не имел присвоенного CVE и фактически оставался уязвимостью нулевого дня. Отдельного ответа от Microsoft Security Response Center (MSRC) в открытых источниках не появилось.
Незадолго до выхода GreatXML в поле зрения попала ещё одна уязвимость RoguePlanet — zero-day в Microsoft Defender, позволяющий провести локальное повышение привилегий (LPE) до уровня SYSTEM. Это открывает путь к выполнению произвольного кода и несанкционированным действиям в системе. GreatXML появился вскоре после RoguePlanet, что создаёт довольно неприятную картину с учётом общей тематики атак на компоненты защиты Windows.
Независимый исследователь Will Dormann разобрал опубликованные шаги воспроизведения и раскритиковал их как «ошибочные». Свою позицию он изложил на платформе Mastodon. Первый аргумент Дормана: для запуска Microsoft Defender Offline Scan пользователь должен быть авторизован в системе и располагать правами администратора. Второй аргумент логически вытекает из первого: если у атакующего уже есть учётные данные администратора и доступ к запущенной Windows, отключить BitLocker можно куда проще — без каких-либо манипуляций с разделом восстановления. Это делает всю конструкцию сомнительной с практической точки зрения.
Наиболее весомым контраргументом стал эмпирический тест. Дорман проверил 3 различных сборки Windows 11 и установил, что после подброски файлов и перезагрузки с зажатым Shift режим Defender Offline Scan автоматически не запускается. То есть центральный механизм, на котором держится весь PoC, попросту не воспроизвёлся ни на одной из протестированных систем. Поведение Windows 10 при этом осталось за скобками — Дорман тестировал только Windows 11.
Ситуацию дополнительно усложняет то, что точное имя первого вредоносного файла в публикации Chaotic Eclipse указано двусмысленно. Упоминание "definitely.xml" с высокой вероятностью является опечаткой или ошибкой OCR, а реальное имя файла, по всей видимости, WdFilter.xml — это следует из логики работы Defender Offline внутри WinRE. Такая размытость в техническом описании сама по себе затрудняет независимую проверку и не добавляет доверия к PoC.
По состоянию на момент выхода материала картина выглядит так: заявленный байпас BitLocker через подброску XML-файлов на Recovery Partition технически описан, но независимо не воспроизведён. Ключевое условие срабатывания — предшествующий запуск Defender Offline Scan — остаётся предметом споров, а автоматический триггер через Shift+Restart опровергнут тестами на реальном железе. CVE для GreatXML не присвоен, реакция Microsoft отсутствует, статус уязвимости для Windows 10 неизвестен.
Техника атаки строится на подброске двух вредоносных XML-файлов на раздел восстановления (Recovery Partition). Первый файл размещается в корне этого раздела (в тексте он фигурирует под именем "definitely.xml", хотя с высокой вероятностью реальное имя файла WdFilter.xml, исходя из архитектуры WinRE и механики Defender Offline). Второй файл — ReAgent.xml — помещается по пути Recovery/WindowsRE/. Этот файл является стандартным конфигурационным компонентом среды восстановления Windows (WinRE), и именно его подмена лежит в основе атаки.
Для запуска вектора атаки достаточно перезагрузить машину, удерживая Shift при нажатии «Перезагрузка» в меню питания Windows. По утверждению Chaotic Eclipse, после этого Windows автоматически входит в режим Microsoft Defender Offline Scan, обрабатывает подброшенные XML-файлы и обходит BitLocker. Исследователь указывает на одно обязательное условие: жертва хотя бы раз в прошлом должна была попытаться воспользоваться функцией Windows Defender Offline Scan. Если это условие выполнено, то, по его словам, пользователь автоматически уязвим. При этом сам автор честно признаётся, что не уверен, срабатывает ли уязвимость на системах, где Offline Scan не запускался никогда.
Это уже второй BitLocker-байпас от того же исследователя. Предыдущий, получивший название YellowKey и идентификатор CVE-2026-45585, был закрыт Microsoft в рамках последних обновлений Patch Tuesday. GreatXML на момент публикации не имел присвоенного CVE и фактически оставался уязвимостью нулевого дня. Отдельного ответа от Microsoft Security Response Center (MSRC) в открытых источниках не появилось.
Незадолго до выхода GreatXML в поле зрения попала ещё одна уязвимость RoguePlanet — zero-day в Microsoft Defender, позволяющий провести локальное повышение привилегий (LPE) до уровня SYSTEM. Это открывает путь к выполнению произвольного кода и несанкционированным действиям в системе. GreatXML появился вскоре после RoguePlanet, что создаёт довольно неприятную картину с учётом общей тематики атак на компоненты защиты Windows.
Независимый исследователь Will Dormann разобрал опубликованные шаги воспроизведения и раскритиковал их как «ошибочные». Свою позицию он изложил на платформе Mastodon. Первый аргумент Дормана: для запуска Microsoft Defender Offline Scan пользователь должен быть авторизован в системе и располагать правами администратора. Второй аргумент логически вытекает из первого: если у атакующего уже есть учётные данные администратора и доступ к запущенной Windows, отключить BitLocker можно куда проще — без каких-либо манипуляций с разделом восстановления. Это делает всю конструкцию сомнительной с практической точки зрения.
Наиболее весомым контраргументом стал эмпирический тест. Дорман проверил 3 различных сборки Windows 11 и установил, что после подброски файлов и перезагрузки с зажатым Shift режим Defender Offline Scan автоматически не запускается. То есть центральный механизм, на котором держится весь PoC, попросту не воспроизвёлся ни на одной из протестированных систем. Поведение Windows 10 при этом осталось за скобками — Дорман тестировал только Windows 11.
Ситуацию дополнительно усложняет то, что точное имя первого вредоносного файла в публикации Chaotic Eclipse указано двусмысленно. Упоминание "definitely.xml" с высокой вероятностью является опечаткой или ошибкой OCR, а реальное имя файла, по всей видимости, WdFilter.xml — это следует из логики работы Defender Offline внутри WinRE. Такая размытость в техническом описании сама по себе затрудняет независимую проверку и не добавляет доверия к PoC.
По состоянию на момент выхода материала картина выглядит так: заявленный байпас BitLocker через подброску XML-файлов на Recovery Partition технически описан, но независимо не воспроизведён. Ключевое условие срабатывания — предшествующий запуск Defender Offline Scan — остаётся предметом споров, а автоматический триггер через Shift+Restart опровергнут тестами на реальном железе. CVE для GreatXML не присвоен, реакция Microsoft отсутствует, статус уязвимости для Windows 10 неизвестен.
