O que aconteceu

O pesquisador Dirk-jan Mollema mostrou que um malware já em execução dentro da sessão do Microsoft Windows da vítima pode pedir ao próprio sistema que use a chave do Windows Hello for Business para autenticar no Microsoft Entra ID. Não é um ataque remoto disparado de qualquer lugar da internet: o requisito é o invasor já ter código rodando na máquina enquanto o usuário está logado.

Segundo a fonte, até 6 de agosto de 2026 não havia CVE nem comunicado da Microsoft vinculado à técnica, e nenhuma vítima ou campanha de exploração ativa foi citada. Os builds exatos do Windows e os modelos de implantação testados também não foram detalhados.

Como o abuso funciona

Em máquinas com TPM, o invasor não precisa extrair a chave privada, conhecer o PIN nem forçar uma confirmação biométrica. Enquanto o usuário mantém uma sessão interativa aberta, as operações de assinatura ligadas ao Windows Hello for Business seguem disponíveis para processos que rodam com aquele usuário. Basta isso para o malware pedir uma assinatura de autenticação, sem privilégios de administrador.

A técnica descrita trata a chave do Windows Hello for Business como uma passkey FIDO2 via WebAuthn. De acordo com a pesquisa, o desafio de cinco minutos do Microsoft Entra ID não fica amarrado a uma sessão, usuário ou tenant específico. Na prática, o atacante pode solicitar o desafio em outro host e usar o endpoint comprometido apenas para assinar a resposta.

Sinais de alerta

O indício mais evidente é o registro inesperado de dispositivos. Equipes de segurança devem investigar eventos que não combinem com o comportamento habitual do usuário, entre eles:

• novo dispositivo registrado no Microsoft Entra ID sem solicitação conhecida do colaborador;
• tentativa de obter um Primary Refresh Token, o PRT, a partir de contexto incomum;
• adição de novos métodos de autenticação quando as políticas do tenant permitem;
• atividade de nuvem imediatamente após indícios de malware no endpoint.

Como reduzir o risco

A defesa começa no endpoint: se o ataque exige código rodando na sessão da vítima, bloquear malware continua sendo o controle mais valioso. Em paralelo, revise as regras do Microsoft Entra ID para limitar quem pode registrar dispositivos e cadastrar métodos de autenticação. Quando essas ações forem legítimas e necessárias, elas devem gerar alerta e passar por validação.

Vale também manter uma rotina de revisão dos dispositivos associados a contas sensíveis. Se um notebook, estação ou host desconhecido aparecer vinculado a um usuário, trate como incidente até prova em contrário.

Checklist pratico

1. Monitore registros de dispositivos inesperados no Microsoft Entra ID.
2. Revise políticas que permitem adicionar métodos de autenticação sem aprovação.
3. Investigue malware em endpoints onde houver atividade anormal de nuvem.
4. Correlacione login, registro de dispositivo e emissão de PRT em uma mesma linha do tempo.
5. Oriente usuários a reportar qualquer autenticação, dispositivo ou método que não reconheçam.

Perguntas frequentes

Isso permite roubar a chave do Windows Hello for Business?

A demonstração não depende de roubar a chave privada. Em máquinas com TPM, o malware usa o próprio Microsoft Windows para realizar a operação de assinatura enquanto a vítima está logada.

O ataque precisa de senha, PIN ou biometria?

Segundo a fonte, não. O método não recupera PIN, não aciona biometria e não exige privilégios de administrador. Ele exige execução de código em uma sessão Windows já autenticada.

Existe correção oficial ou CVE?

A fonte informa que não localizou CVE nem aviso da Microsoft associado à técnica até 6 de agosto de 2026. A ação imediata, portanto, é reduzir permissões, monitorar registros e investigar endpoints suspeitos.

Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io

Fontes:
https://thehackernews.com/2026/08/malware-can-abuse-windows-hello-for.html