Crédito: Mixvale.com.br
Usuários do sistema operacional Windows enfrentam uma nova ameaça de segurança, revelada por um pesquisador logo após a Microsoft anunciar um número sem precedentes de correções. A falha, classificada como zero-day, permite que contas com acesso restrito executem alterações cruciais em perfis de administrador, evidenciando os desafios persistentes na defesa de plataformas digitais.
Confirmada por diversos especialistas em cibersegurança, a vulnerabilidade força a Microsoft a reagir mais uma vez a uma brecha exposta publicamente. O pesquisador anônimo, que se identifica como NightmareEclypse, manifestou insatisfação com as práticas da empresa em relação ao tratamento de relatórios de bugs. Este é o nono exploit similar divulgado por ele, incluindo o HiveLegacy, tornado público na terça-feira, 7 de maio. O autor assegurou que o código de prova de conceito foi simplificado para dificultar seu uso malicioso por invasores.
Em um contexto similar de ameaças, a Apple também implementou atualizações recentes para conter vulnerabilidades zero-day em seu motor de renderização WebKit, após a detecção de ataques direcionados e altamente sofisticados. Essas ocorrências ressaltam a constante batalha contra falhas de segurança em grandes sistemas operacionais.
O exploit conhecido como HiveLegacy explora uma fraqueza no Serviço de Perfil de Usuário do Windows, possibilitando a elevação de privilégios. Esta vulnerabilidade permite que usuários com direitos limitados no sistema, ou até mesmo processos, comprometam uma conta de administrador ao modificar o hive de registro de classes, um componente vital para o funcionamento correto de aplicações no Explorador de Arquivos do Windows. Este mecanismo é fundamental para a integridade do sistema, e sua alteração pode ter consequências graves.
A discussão sobre falhas de segurança de longa data na Microsoft ganha mais um capítulo, lembrando o caso da brecha crítica no Secure Boot, que permitiu desvios de segurança por mais de dez anos. Tais incidentes sublinham a complexidade de garantir a segurança em softwares amplamente utilizados.
Para que o ataque seja bem-sucedido, o invasor precisa possuir as credenciais de qualquer outro usuário no sistema, mesmo que não seja um administrador. Adicionalmente, é necessário ter o nome de usuário de uma terceira conta na mesma máquina, independentemente do nível de seus privilégios. Isso significa que um atacante pode começar com acesso mínimo e progressivamente escalar suas permissões.
Will Dormann, analista sênior de vulnerabilidades da Tharros Labs, explicou em entrevista que, se um agressor conseguir configurar o sistema para que seu código seja executado no momento em que um usuário administrador faz login, ele efetivamente obterá privilégios administrativos. “Eu não preciso ser administrador para isso”, afirmou Dormann, destacando a seriedade da brecha e a facilidade com que um sistema pode ser comprometido.
Em uma publicação online, Dormann descreveu a capacidade de um usuário sem privilégios administrativos de modificar o registro de classes de um administrador como uma ferramenta “bastante potente”. Ele alertou que invasores experientes ou aqueles com objetivos específicos conseguirão facilmente descobrir como realizar ações mais impactantes ou que nem exijam interação do usuário, o que aumenta o risco para empresas e indivíduos.
Outras correções recentes da Microsoft também incluíram uma grave falha de segurança que afetava jogadores de Age of Empires II. A empresa tem um histórico de lidar com diversas vulnerabilidades em seus produtos, desde sistemas operacionais até jogos populares.
O analista de segurança ainda sugeriu que esta vulnerabilidade poderia ser combinada com outras falhas que concedem acesso direto a contas administrativas, ampliando ainda mais o potencial de danos e a complexidade para as defesas do sistema. A sobreposição de diferentes exploits cria um cenário de risco elevado.
Outro especialista detalhou que, quando um novo usuário se autentica, o Windows precisa carregar o hive da classe desse usuário. Como o usuário ainda não está logado antes desse processo, ele é carregado no contexto de “NT AUTHORITYSYSTEM”, que possui privilégios elevados. O LegacyHive explora precisamente esse comportamento intrínseco do sistema operacional.
Em um comunicado enviado por e-mail, a Microsoft informou que está ciente do relatório de vulnerabilidade e que já iniciou uma investigação detalhada. A empresa também reiterou sua preferência por uma política de divulgação coordenada, onde as falhas são comunicadas diretamente à companhia antes de serem tornadas públicas, visando uma correção mais rápida e segura.
Para os usuários de Windows que desejam proteger seus sistemas contra o HiveLegacy, algumas ações são aconselhadas. É possível executar um script de detecção disponibilizado pelo pesquisador independente Kevin Beaumont. Outras medidas defensivas incluem a restrição na criação de contas locais que não sejam de usuário, o monitoramento do serviço ProfSvc em busca de carregamentos inesperados do Hive e o acompanhamento atento da atividade dos arquivos NTUSER.DAT e UsrClass.dat, que são cruciais para a integridade dos perfis de usuário.
