📰 Informação fresquinha chegando para você!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O pesquisador do Entra ID, Dirk-jan Mollema, demonstrou que o malware já em execução em uma sessão do Windows conectada pode usar silenciosamente a chave do Windows Hello for Business da vítima para autenticar no Microsoft Entra ID.
O invasor pode então estabelecer acesso à nuvem de longo prazo, registrar um dispositivo que controla, obter um Token de Atualização Primária (PRT) e adicionar outros métodos de autenticação onde as políticas de locatário permitirem.
Em sistemas apoiados por TPM, o invasor não extrai a chave privada, não recupera o PIN ou aciona um prompt biométrico. A emissão de tíquetes do Windows mantém as operações de chave privada disponíveis enquanto o usuário está conectado interativamente, permitindo que o código seja executado enquanto o usuário solicita ao Windows que assine os dados de autenticação. Não são necessários privilégios de administrador.
A técnica requer a execução de código na sessão de login da vítima. Mollema descreve o comportamento como consequência do funcionamento do Windows Hello for Business e diz que foi deixado como está. A divulgação não relata exploração ativa ou vítimas. Mollema recomenda monitorar registros inesperados de dispositivos.
A divulgação não identifica as compilações exatas do Windows ou os modelos de implantação do Windows Hello for Business testados. O Hacker News não encontrou nenhum aviso CVE ou da Microsoft vinculado à técnica em pesquisas no Guia de atualização de segurança da Microsoft, NVD e CVE.org em 6 de agosto de 2026. O Hacker News entrou em contato com a Microsoft e Mollema; as respostas estão pendentes.
A Microsoft documenta o comportamento da emissão de tíquetes. Mollema disse que a capacidade de invocar chaves do Windows Hello para Empresas a partir de uma sessão comprometida foi apresentada na DEF CON 32 em 2024. Esse método poderia produzir uma declaração assinada para um PRT, mas também exigia acesso a um dispositivo registrado ou associado ao Entra.
O novo trabalho elimina esse requisito tratando a chave do Windows Hello para Empresas como uma chave de acesso FIDO2 por meio do WebAuthn. Mollema descobriu que o desafio Entra ID de cinco minutos não está vinculado a uma sessão, usuário ou locatário.
Um invasor pode, portanto, solicitá-lo em outro host e fazer com que o endpoint comprometido produza a asserção assinada. ROADtools, uma estrutura para interagir com o Entra ID, pode usar a asserção para solicitar tokens ou abrir uma sessão do navegador como vítima.
Mollema descobriu que o token não carrega nenhuma reivindicação de ID de dispositivo. Um token sem essa vinculação de dispositivo permite que o invasor registre um novo dispositivo, solicite um PRT para ele e acesse os serviços de nuvem da Microsoft. A Microsoft documenta que um PRT permanece válido por 90 dias e é renovado continuamente enquanto o usuário usa ativamente o dispositivo.
Mollema descobriu que o login do WebAuthn pode atender às políticas de acesso condicional que exigem a força de autenticação resistente a phishing da Microsoft. Ele disse que o login também conta como uma nova autenticação multifator, permitindo que um invasor adicione senhas ou chaves do Windows Hello para Empresas no novo dispositivo, onde as políticas permitirem. Políticas separadas de estado do dispositivo ou de conformidade ainda podem interromper a cadeia, portanto, a rota de persistência completa não funcionará em todas as implantações.
A descoberta expõe um limite de autenticação resistente a phishing: a credencial pode permanecer vinculada ao hardware e não exportada enquanto o malware dentro da sessão do endpoint conectado a invoca para o invasor.
Mollema publicou os scripts de prova de conceito do PowerShell no repositório ROADtools. O Hacker News encontrou fido_assertion.ps1 e hellopoc.ps1 na pasta em 6 de agosto de 2026. Para detecção, ele recomendou procurar logins do Windows Hello for Business com um ID de dispositivo vazio. Sessões legítimas de navegador anônimas ou sem SSO podem produzir o mesmo padrão.
O invasor pode então estabelecer acesso à nuvem de longo prazo, registrar um dispositivo que controla, obter um Token de Atualização Primária (PRT) e adicionar outros métodos de autenticação onde as políticas de locatário permitirem.
Em sistemas apoiados por TPM, o invasor não extrai a chave privada, não recupera o PIN ou aciona um prompt biométrico. A emissão de tíquetes do Windows mantém as operações de chave privada disponíveis enquanto o usuário está conectado interativamente, permitindo que o código seja executado enquanto o usuário solicita ao Windows que assine os dados de autenticação. Não são necessários privilégios de administrador.
A técnica requer a execução de código na sessão de login da vítima. Mollema descreve o comportamento como consequência do funcionamento do Windows Hello for Business e diz que foi deixado como está. A divulgação não relata exploração ativa ou vítimas. Mollema recomenda monitorar registros inesperados de dispositivos.
A divulgação não identifica as compilações exatas do Windows ou os modelos de implantação do Windows Hello for Business testados. O Hacker News não encontrou nenhum aviso CVE ou da Microsoft vinculado à técnica em pesquisas no Guia de atualização de segurança da Microsoft, NVD e CVE.org em 6 de agosto de 2026. O Hacker News entrou em contato com a Microsoft e Mollema; as respostas estão pendentes.
A Microsoft documenta o comportamento da emissão de tíquetes. Mollema disse que a capacidade de invocar chaves do Windows Hello para Empresas a partir de uma sessão comprometida foi apresentada na DEF CON 32 em 2024. Esse método poderia produzir uma declaração assinada para um PRT, mas também exigia acesso a um dispositivo registrado ou associado ao Entra.
O novo trabalho elimina esse requisito tratando a chave do Windows Hello para Empresas como uma chave de acesso FIDO2 por meio do WebAuthn. Mollema descobriu que o desafio Entra ID de cinco minutos não está vinculado a uma sessão, usuário ou locatário.
Um invasor pode, portanto, solicitá-lo em outro host e fazer com que o endpoint comprometido produza a asserção assinada. ROADtools, uma estrutura para interagir com o Entra ID, pode usar a asserção para solicitar tokens ou abrir uma sessão do navegador como vítima.
Mollema descobriu que o token não carrega nenhuma reivindicação de ID de dispositivo. Um token sem essa vinculação de dispositivo permite que o invasor registre um novo dispositivo, solicite um PRT para ele e acesse os serviços de nuvem da Microsoft. A Microsoft documenta que um PRT permanece válido por 90 dias e é renovado continuamente enquanto o usuário usa ativamente o dispositivo.
Mollema descobriu que o login do WebAuthn pode atender às políticas de acesso condicional que exigem a força de autenticação resistente a phishing da Microsoft. Ele disse que o login também conta como uma nova autenticação multifator, permitindo que um invasor adicione senhas ou chaves do Windows Hello para Empresas no novo dispositivo, onde as políticas permitirem. Políticas separadas de estado do dispositivo ou de conformidade ainda podem interromper a cadeia, portanto, a rota de persistência completa não funcionará em todas as implantações.
A descoberta expõe um limite de autenticação resistente a phishing: a credencial pode permanecer vinculada ao hardware e não exportada enquanto o malware dentro da sessão do endpoint conectado a invoca para o invasor.
Mollema publicou os scripts de prova de conceito do PowerShell no repositório ROADtools. O Hacker News encontrou fido_assertion.ps1 e hellopoc.ps1 na pasta em 6 de agosto de 2026. Para detecção, ele recomendou procurar logins do Windows Hello for Business com um ID de dispositivo vazio. Sessões legítimas de navegador anônimas ou sem SSO podem produzir o mesmo padrão.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #o #malware #pode #abusar #das #chaves #do #windows #hello #for #business #para #acesso #persistente #ao #id #de #entrada
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário