📰 Informação fresquinha chegando para você!
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Três esforços de pesquisa separados na semana passada demonstraram maneiras de derrotar as proteções de senha sem quebrar a criptografia em que elas repousam.
As chaves de acesso foram projetadas para substituir senhas reutilizáveis e resistir ao phishing. Em vez disso, os ataques reutilizaram material de autenticação assinado que o Windows havia exposto, abusaram de um sistema de senha sincronizado na nuvem de malware já instalado na máquina da vÃtima e usaram uma chave do Windows Hello para Empresas de uma sessão de usuário comprometida sem um novo PIN ou verificação biométrica. Nenhum quebrou a matemática.
O impacto não é o mesmo nos três casos.
SpecterOps mostrou uma cadeia de ID Windows e Microsoft Entra que poderia se passar por usuários privilegiados enquanto satisfazia a autenticação multifator (MFA) resistente a phishing; essa cadeia reutilizou material de autenticação assinado em vez de roubar a chave privada do autenticador.
A unidade 42 mostrou ataques contra o Gerenciador de senhas do Google no Chrome, incluindo um caminho que recupera as chaves privadas das chaves de acesso sincronizadas da vÃtima.
O pesquisador independente Dirk-jan Mollema mostrou que o malware já em execução em uma sessão do Windows conectada pode usar uma chave do Windows Hello for Business vinculada ao hardware sem solicitar ao usuário que a desbloqueie novamente.
As correções e mitigações também diferem. A vulnerabilidade de registro do Windows da Microsoft, CVE-2026-34348, tem uma pontuação CVSS do fornecedor de 6,5 e uma atualização de segurança da Microsoft. A Microsoft disse ao The Hacker News que também aplicou mitigações para o problema relatado envolvendo afirmações de retransmissão de chave de acesso.
A orientação de migração Entra da Microsoft, atualizada pela última vez em 3 de agosto de 2026, continua descrevendo as chaves de acesso como resistentes a ataques de repetição. O comunicado público da Microsoft vinculado ao CVE-2026-34348 cobre o problema do Windows Event Logging Service, enquanto a resposta da empresa não forneceu detalhes técnicos sobre o escopo das mitigações separadas do Entra-side.
"Agradecemos o trabalho da SpecterOps por relatar isso por meio de uma divulgação de vulnerabilidade coordenada. Aplicamos mitigações para o problema relatado envolvendo afirmações de retransmissão de chave de acesso e continuamos investindo em melhorias de segurança em métodos de autenticação. Recomendamos adotar uma abordagem de acesso com privilégios mÃnimos, usando métodos de autenticação resistentes a phishing e mantendo proteções de endpoint, adotando um modelo de segurança Zero Trust para ser melhor protegido", disse um porta-voz da Microsoft ao The Hacker News.
As descobertas da Unidade 42 e Mollema também mostram por que nenhuma escolha única entre chaves de acesso sincronizadas e vinculadas ao dispositivo fecha a superfÃcie de ataque mais ampla.
O Hacker News também entrou em contato com a SpecterOps para obter mais detalhes sobre seus testes mais recentes e atualizará esta história com qualquer resposta.
O login que o Windows manteve
O principal pesquisador de segurança da SpecterOps, Michael Grafnetter, apresentou a pesquisa Pass-the-Passkey da empresa na Black Hat USA 2026 em 5 de agosto.
SpecterOps diz que o Windows armazenou assinaturas anteriores do YubiKey em texto não criptografado, onde usuários autenticados sem privilégios, incluindo usuários remotos, poderiam lê-las. A empresa afirma que encadear essas assinaturas com pontos fracos na validação de chave de acesso do Microsoft Entra ID permitiu a representação de usuários privilegiados, apesar das polÃticas que exigem MFA resistente a phishing.
O problema do Windows é rastreado como CVE-2026-34348, uma vulnerabilidade de divulgação de informações no serviço de registro de eventos do Windows. Os dados dos produtos afetados da Microsoft abrangem versões do Windows 10, Windows 11 e Windows Server. O escopo do produto CVE não estabelece que a cadeia completa de chaves de acesso do SpecterOps funcione de forma idêntica em todas as versões listadas do Windows.
Nesta cadeia, o invasor não precisa extrair a chave privada de um YubiKey ou outro autenticador. O material perigoso é uma assinatura já gerada que o Windows reteve e que o SpecterOps diz que o Entra ID aceitou na cadeia de reprodução. Essa é uma falha mais restrita do que quebrar o FIDO2, mas ainda pode produzir o resultado com o qual os defensores se preocupam: um invasor autenticando-se como outra pessoa.
A chave mestra por trás das chaves de acesso sincronizadas do Google
A pesquisa Pass-ta-key da Unidade 42 tem como alvo o sistema de senha sincronizada do Google Password Manager no Chrome no Windows. Todos os três ataques descritos pela equipe começam com malware já em execução no endpoint da vÃtima, sem exigir escalonamento de privilégios em nÃvel de administrador.
O primeiro caminho abusa do mecanismo de identidade do dispositivo Chrome para obter as assinaturas necessárias para agir como um cliente legÃtimo do Gerenciador de senhas do Google, sem desbloquear um novo dispositivo ou interação do usuário. A Unidade 42 demonstrou a técnica contra o eBay, embora o site solicitasse a verificação do usuário; depois que os pesquisadores relataram o problema, o eBay mudou a validação do sinalizador de verificação do usuário WebAuthn.
A variante mais prejudicial, Golden Pass-ta-key, tem como alvo o Segredo do DomÃnio de Segurança, uma chave mestra de 32 bytes usada para proteger chaves de acesso sincronizadas. A Unidade 42 encontrou pela primeira vez o segredo exposto no Chrom
As chaves de acesso foram projetadas para substituir senhas reutilizáveis e resistir ao phishing. Em vez disso, os ataques reutilizaram material de autenticação assinado que o Windows havia exposto, abusaram de um sistema de senha sincronizado na nuvem de malware já instalado na máquina da vÃtima e usaram uma chave do Windows Hello para Empresas de uma sessão de usuário comprometida sem um novo PIN ou verificação biométrica. Nenhum quebrou a matemática.
O impacto não é o mesmo nos três casos.
SpecterOps mostrou uma cadeia de ID Windows e Microsoft Entra que poderia se passar por usuários privilegiados enquanto satisfazia a autenticação multifator (MFA) resistente a phishing; essa cadeia reutilizou material de autenticação assinado em vez de roubar a chave privada do autenticador.
A unidade 42 mostrou ataques contra o Gerenciador de senhas do Google no Chrome, incluindo um caminho que recupera as chaves privadas das chaves de acesso sincronizadas da vÃtima.
O pesquisador independente Dirk-jan Mollema mostrou que o malware já em execução em uma sessão do Windows conectada pode usar uma chave do Windows Hello for Business vinculada ao hardware sem solicitar ao usuário que a desbloqueie novamente.
As correções e mitigações também diferem. A vulnerabilidade de registro do Windows da Microsoft, CVE-2026-34348, tem uma pontuação CVSS do fornecedor de 6,5 e uma atualização de segurança da Microsoft. A Microsoft disse ao The Hacker News que também aplicou mitigações para o problema relatado envolvendo afirmações de retransmissão de chave de acesso.
A orientação de migração Entra da Microsoft, atualizada pela última vez em 3 de agosto de 2026, continua descrevendo as chaves de acesso como resistentes a ataques de repetição. O comunicado público da Microsoft vinculado ao CVE-2026-34348 cobre o problema do Windows Event Logging Service, enquanto a resposta da empresa não forneceu detalhes técnicos sobre o escopo das mitigações separadas do Entra-side.
"Agradecemos o trabalho da SpecterOps por relatar isso por meio de uma divulgação de vulnerabilidade coordenada. Aplicamos mitigações para o problema relatado envolvendo afirmações de retransmissão de chave de acesso e continuamos investindo em melhorias de segurança em métodos de autenticação. Recomendamos adotar uma abordagem de acesso com privilégios mÃnimos, usando métodos de autenticação resistentes a phishing e mantendo proteções de endpoint, adotando um modelo de segurança Zero Trust para ser melhor protegido", disse um porta-voz da Microsoft ao The Hacker News.
As descobertas da Unidade 42 e Mollema também mostram por que nenhuma escolha única entre chaves de acesso sincronizadas e vinculadas ao dispositivo fecha a superfÃcie de ataque mais ampla.
O Hacker News também entrou em contato com a SpecterOps para obter mais detalhes sobre seus testes mais recentes e atualizará esta história com qualquer resposta.
O login que o Windows manteve
O principal pesquisador de segurança da SpecterOps, Michael Grafnetter, apresentou a pesquisa Pass-the-Passkey da empresa na Black Hat USA 2026 em 5 de agosto.
SpecterOps diz que o Windows armazenou assinaturas anteriores do YubiKey em texto não criptografado, onde usuários autenticados sem privilégios, incluindo usuários remotos, poderiam lê-las. A empresa afirma que encadear essas assinaturas com pontos fracos na validação de chave de acesso do Microsoft Entra ID permitiu a representação de usuários privilegiados, apesar das polÃticas que exigem MFA resistente a phishing.
O problema do Windows é rastreado como CVE-2026-34348, uma vulnerabilidade de divulgação de informações no serviço de registro de eventos do Windows. Os dados dos produtos afetados da Microsoft abrangem versões do Windows 10, Windows 11 e Windows Server. O escopo do produto CVE não estabelece que a cadeia completa de chaves de acesso do SpecterOps funcione de forma idêntica em todas as versões listadas do Windows.
Nesta cadeia, o invasor não precisa extrair a chave privada de um YubiKey ou outro autenticador. O material perigoso é uma assinatura já gerada que o Windows reteve e que o SpecterOps diz que o Entra ID aceitou na cadeia de reprodução. Essa é uma falha mais restrita do que quebrar o FIDO2, mas ainda pode produzir o resultado com o qual os defensores se preocupam: um invasor autenticando-se como outra pessoa.
A chave mestra por trás das chaves de acesso sincronizadas do Google
A pesquisa Pass-ta-key da Unidade 42 tem como alvo o sistema de senha sincronizada do Google Password Manager no Chrome no Windows. Todos os três ataques descritos pela equipe começam com malware já em execução no endpoint da vÃtima, sem exigir escalonamento de privilégios em nÃvel de administrador.
O primeiro caminho abusa do mecanismo de identidade do dispositivo Chrome para obter as assinaturas necessárias para agir como um cliente legÃtimo do Gerenciador de senhas do Google, sem desbloquear um novo dispositivo ou interação do usuário. A Unidade 42 demonstrou a técnica contra o eBay, embora o site solicitasse a verificação do usuário; depois que os pesquisadores relataram o problema, o eBay mudou a validação do sinalizador de verificação do usuário WebAuthn.
A variante mais prejudicial, Golden Pass-ta-key, tem como alvo o Segredo do DomÃnio de Segurança, uma chave mestra de 32 bytes usada para proteger chaves de acesso sincronizadas. A Unidade 42 encontrou pela primeira vez o segredo exposto no Chrom
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #novos #ataques #de #senha #podem #recuperar #chaves #privadas #sincronizadas #ou #ignorar #mfa #resistente #a #phishing
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário