¿YellowKey abre discos con BitLocker usando solo un USB?

YellowKey ha encendido una de esas alarmas que no hacen ruido en el salón de casa, pero sí en los departamentos de sistemas, en los portátiles corporativos y en los servidores donde se guarda lo que nadie quiere ver circulando por ahí. El exploit, atribuido al investigador conocido como Chaotic Eclipse o Nightmare-Eclipse, apunta a un punto muy delicado: la posibilidad de acceder a unidades protegidas con BitLocker mediante archivos preparados en una memoria USB y el uso del entorno de recuperación de Windows. No es magia. Tampoco conviene convertirlo en receta. Es peor: una grieta en una herramienta pensada precisamente para que un disco robado, perdido o manipulado siga siendo una caja cerrada.

El asunto llega acompañado de otra vulnerabilidad, GreenPlasma, orientada a la elevación de privilegios en Windows. La pareja no tiene el mismo papel en la película. YellowKey mira al disco cifrado y al acceso físico; GreenPlasma mira al control interno del sistema, a esa escalera invisible que permite pasar de usuario limitado a permisos mucho más altos. Juntas dibujan un escenario incómodo para Microsoft: no solo por el daño técnico potencial, sino por el modo en que se han publicado, con pruebas de concepto disponibles y una disputa abierta sobre la gestión de informes de seguridad.

BitLocker no es un adorno para paranoicos. Es una de las piezas centrales de protección de datos en Windows, muy usada en empresas, administraciones y equipos personales modernos. Su función básica es sencilla de entender: cifrar el contenido del disco para que, si alguien se lleva el portátil o extrae la unidad, no pueda leer documentos, credenciales, bases de datos o historiales como quien abre una carpeta de vacaciones. La gracia, claro, está en que esa cerradura aguante justo cuando el ordenador cae en manos ajenas.

El problema: el ordenador sigue confiando demasiado

La parte más delicada de YellowKey no es que use un USB. Eso suena casi antiguo, de cibercafé con fluorescentes y pendrive olvidado junto al teclado. Lo grave es el punto del sistema que toca: Windows Recovery Environment, conocido como WinRE, el entorno de recuperación que Windows utiliza cuando algo falla, cuando el arranque se rompe o cuando toca reparar el sistema. Esa zona existe para salvar máquinas, no para abrirlas como una lata. Pero según los análisis publicados, el exploit se aprovecha de cómo ciertos componentes de recuperación interactúan con discos protegidos por BitLocker.

En configuraciones habituales con TPM, el módulo de plataforma segura almacena o protege claves para que el sistema pueda arrancar sin pedir siempre intervención humana. Es cómodo. Muy cómodo. El problema de la comodidad en seguridad informática es que a veces deja una rendija con alfombra roja. En determinados escenarios, WinRE puede ser considerado un entorno de confianza y acceder a unidades protegidas si no se detectan modificaciones relevantes. Ahí está el nervio de la noticia: YellowKey cuestiona si esa confianza automática puede ser manipulada.

Dicho sin la liturgia técnica: un equipo cifrado no siempre está cifrado de la misma manera en todos los momentos de su arranque. Hay fases en las que Windows necesita tocar piezas internas para repararse, validar su estado o permitir una recuperación. Normalmente eso ocurre bajo reglas estrictas. YellowKey se mueve precisamente por esa frontera: cuando el sistema aún no es el escritorio normal, pero ya conserva capacidad de acceso a lo que debería seguir blindado.

A quién afecta y qué no conviene exagerar

Los informes disponibles señalan que YellowKey afecta a Windows 11 y a Windows Server 2022/2025, mientras que algunos análisis indican que no se reproduce igual en Windows 10. La vulnerabilidad exige un elemento importante: acceso físico al equipo o a su entorno de arranque. No estamos ante un acceso remoto clásico, de esos que cruzan internet desde un sótano remoto y entran sin tocar la máquina. Aquí hace falta proximidad. Un portátil robado, un equipo de oficina sin vigilancia, un servidor accesible en una sala mal controlada, una máquina compartida por demasiadas manos. Ahí empieza la película.

Eso reduce el alcance para el usuario doméstico que tiene su ordenador en casa y no lo pierde de vista. Pero no lo vuelve irrelevante. En ciberseguridad, el acceso físico es medio partido ganado. Si un atacante puede sentarse delante de un portátil, manipular su arranque y probar una técnica ya publicada, el riesgo deja de ser académico. Para empresas, colegios profesionales, bufetes, clínicas, administraciones y cualquier organización con equipos móviles, el matiz importa bastante más que la tranquilidad de manual.

Tampoco conviene comprar sin filtro la palabra “puerta trasera”. El propio investigador ha usado esa expresión para describir el comportamiento observado, y algunos expertos han confirmado que el exploit funciona en pruebas concretas. Pero llamar backdoor a una vulnerabilidad implica una sospecha fuerte: que hay una vía diseñada o dejada deliberadamente. Eso, a día de hoy, no está probado públicamente. Lo que sí existe es un comportamiento técnicamente grave, una prueba de concepto y una investigación en marcha. Bastante barro ya hay sin añadirle purpurina conspirativa.

GreenPlasma, el segundo golpe bajo la mesa

GreenPlasma no tiene el mismo gancho visual que un USB abriendo BitLocker. No cabe tan bien en un titular. Pero su función es muy seria: se presenta como una vulnerabilidad de elevación de privilegios vinculada a componentes de entrada y servicios internos de Windows, con capacidad potencial para acercar a un atacante a permisos de sistema. En cristiano: pasar de estar dentro con poco poder a estar dentro con mucho más. Y en un sistema comprometido, esa diferencia es la que separa el fisgoneo de la toma de control.

La prueba de concepto publicada para GreenPlasma aparece descrita como incompleta en algunos análisis, sin todo el código necesario para lograr una consola plena con permisos SYSTEM. Aun así, la publicación de una ruta técnica de escalada ya cambia el paisaje. Los atacantes no necesitan que les sirvan el plato terminado; muchas veces les basta con que alguien deje la cocina abierta, los cuchillos a mano y una nota medio legible en la encimera.

El riesgo más serio aparece cuando estas vulnerabilidades se imaginan en cadena. Primero, un acceso físico o local que permita tocar el sistema protegido. Después, una elevación de privilegios que ayude a desactivar defensas, alterar servicios, instalar persistencia o moverse hacia otros equipos. No siempre será fácil. No siempre será viable. Pero la seguridad corporativa vive de cerrar justamente esas combinaciones raras que, el día malo, dejan de ser raras.

Microsoft, el parche y el ruido de fondo

Microsoft ha indicado, según medios especializados que han recibido respuesta de la compañía, que está investigando las vulnerabilidades y que defiende la divulgación coordinada, el procedimiento por el cual un investigador informa de un fallo al fabricante antes de hacerlo público para dar tiempo a corregirlo. Es el protocolo civilizado del sector. El problema es que aquí el protocolo ha terminado como una cena familiar con demasiados cuchillos sobre la mesa.

La publicación de YellowKey y GreenPlasma llega tras otros episodios atribuidos al mismo investigador, como BlueHammer y RedSun, con reproches hacia la gestión de vulnerabilidades por parte de Microsoft. BlueHammer recibió finalmente el identificador CVE-2026-33825 y fue corregido, mientras que otros fallos han generado discusión por la ausencia de CVE o por supuestas correcciones silenciosas. Este contexto importa porque no estamos ante un hallazgo aislado, sino ante una secuencia de filtraciones técnicas convertidas en pulso público.

Para el usuario final, sin embargo, la pelea entre investigador y multinacional es casi decorado. Lo importante es más básico: si hay parche, se instala; si no hay parche, se reduce exposición. En este caso, al tratarse de fallos descritos como zero-day y con pruebas de concepto públicas, la prudencia manda. No se trata de apagar Windows y mudarse a una cabaña con Linux tallado en madera. Se trata de entender que una tecnología de cifrado fuerte puede depender de decisiones muy humanas: configuración, arranque, recuperación, acceso físico y disciplina de actualización.

Qué pueden hacer empresas y usuarios sin caer en el teatro

La primera defensa no es espectacular: control físico del dispositivo. Portátiles cifrados, sí, pero también bloqueados, custodiados y apagados cuando viajan o quedan fuera de vigilancia. El cifrado protege mucho, pero no sustituye a la puerta cerrada. En equipos sensibles, especialmente en entornos corporativos, conviene revisar el uso de PIN de arranque de BitLocker, contraseñas de firmware o BIOS/UEFI, orden de arranque, bloqueo de arranque desde dispositivos externos y políticas de recuperación. Para atacantes con capacidad y acceso físico prolongado, la combinación de TPM con PIN y medidas previas al arranque eleva bastante el coste del ataque.

Hay matices. Algunos investigadores consideran que el PIN de BitLocker mitiga el exploit publicado en ciertos escenarios; el autor de YellowKey afirma que existen variantes no publicadas capaces de sortear también configuraciones con TPM+PIN. Eso deja una conclusión poco cómoda: el PIN ayuda, pero no debe venderse como chaleco antibalas universal. En seguridad real, casi nada lo es. Sirve para subir el coste del ataque, reducir oportunidades y ganar tiempo. A veces eso basta. A veces no.

Otra medida discutida es limitar o desactivar temporalmente funciones de recuperación como WinRE en equipos de alto riesgo, aunque eso tiene coste operativo: dificulta reparaciones, recuperación ante fallos y soporte técnico. No es una recomendación alegre para todos los usuarios. En una empresa con inventario controlado, copias de seguridad, soporte y procedimientos, puede estudiarse. En el portátil de alguien que no sabe dónde guardó la clave de recuperación, tocar alegremente el entorno de recuperación puede convertir un susto de seguridad en un ladrillo caro. Prudencia, esa palabra aburrida que tantas veces salva el día.

También conviene recordar lo elemental: copias de seguridad verificadas, claves de recuperación guardadas en entornos seguros, dispositivos actualizados, EDR o protección de endpoint en empresas, monitorización de cambios de arranque y revisión de políticas de Intune, Entra ID o Active Directory cuando proceda. No hay glamour en esto. Ningún póster de hacker con capucha. Solo administración decente, que suele ser la diferencia entre una incidencia y una catástrofe.

Por qué esta noticia importa más allá del susto

YellowKey toca una fibra sensible porque BitLocker es una promesa. Promete que, aunque el dispositivo desaparezca, los datos seguirán encerrados. Y esa promesa sostiene muchas políticas de cumplimiento, seguros, auditorías, contratos públicos y tranquilidad cotidiana. Cuando aparece una técnica capaz de discutir esa promesa, la noticia salta del nicho técnico al terreno común: qué pasa con nuestros datos cuando creemos que están protegidos.

El caso también expone una vieja tensión de la ciberseguridad: la relación entre investigadores y fabricantes. La divulgación coordinada existe para evitar que los delincuentes reciban un manual antes de que haya solución. Pero cuando un investigador se siente ignorado, maltratado o empujado fuera del circuito, puede optar por publicar. Entonces la vulnerabilidad deja de ser una conversación privada y se convierte en incendio público. No es ideal. Tampoco es nuevo. La historia de la seguridad informática está llena de hallazgos brillantes, egos afilados, empresas lentas y usuarios atrapados en medio, como pasajeros de un tren cuyo maquinista y cuyo mecánico discuten en voz alta.

Hay, además, una lección menos vistosa: el cifrado no vive solo en las matemáticas. Vive en el firmware, en el arranque, en la recuperación, en los permisos, en la memoria, en la cadena de confianza. La criptografía puede ser robusta y, aun así, el sistema que la rodea puede equivocarse. Es como guardar una joya en una caja fuerte perfecta y dejar una trampilla detrás del armario. La caja no falla; falla la habitación.

La confianza también necesita mantenimiento

YellowKey no significa que todos los discos con BitLocker estén desnudos sobre la mesa. Significa algo más preciso y más útil: ciertas configuraciones de Windows quedan bajo sospecha cuando un atacante tiene acceso físico y puede manipular el proceso de recuperación. GreenPlasma, por su parte, añade preocupación sobre rutas de elevación de privilegios que podrían aumentar el daño una vez dentro. No es el apocalipsis digital, pero sí una advertencia seria. De las que no conviene leer con café en una mano y soberbia en la otra.

Hasta que Microsoft aclare el alcance completo y publique correcciones específicas, la respuesta sensata pasa por endurecer el arranque, revisar configuraciones de BitLocker, controlar el acceso físico y tratar los portátiles sensibles como lo que son: pequeñas cajas negras con vida laboral, fiscal, médica o personal dentro. El cifrado sigue siendo necesario. Más que nunca. Pero confiar en él sin revisar su entorno sería como dormir con la puerta blindada abierta de par en par porque la cerradura es muy buena.