Descoberta e escopo
Uma técnica recém-demonstrada mostra como o malware em uma sessão de usuário do Windows comprometida pode abusar das chaves criptográficas do Windows Hello for Business (WHFB) para autenticar no Microsoft Entra ID, permitindo que atacantes obtenham acesso à nuvem sem a senha, PIN ou dados biométricos da vítima. O Windows Hello for Business foi projetado como um sistema de autenticação sem senha. Normalmente, ele armazena a chave privada do usuário no Módulo de Plataforma Confiável (TPM) do dispositivo, tornando a chave difícil de exportar ou roubar.
Usuários desbloqueiam o acesso a essa chave com um PIN, impressão digital, reconhecimento facial ou outro método de verificação local. No entanto, o pesquisador Dirk-jan Mollema descobriu que um processo já operando dentro de uma sessão de usuário ativa pode ser capaz de usar a chave através das interfaces criptográficas do Windows sem acionar um novo prompt de PIN ou biométrico. Esse comportamento parece estar ligado a informações de autenticação em cache usadas pelo Windows Hello.
Como a técnica funciona
O problema não significa que os atacantes possam simplesmente copiar uma chave privada protegida pelo TPM de um dispositivo. Em vez disso, o malware com acesso a uma sessão de usuário desbloqueada pode solicitar que o Windows realize operações de assinatura criptográfica usando a chave protegida. Essas assinaturas podem então ser usadas em fluxos de identidade que provam o controle da credencial do Windows Hello.
Um caminho de ataque envolve solicitar um Token de Atualização Primário, também conhecido como PRT. Os PRTs são artefatos de autenticação importantes do Microsoft Entra ID que suportam single sign-on em serviços e aplicativos Microsoft. Um PRT válido pode fornecer acesso de longo prazo e pode ser renovado, tornando-o altamente valioso para atacantes que buscam persistência em um ambiente de nuvem.
Anteriormente, um atacante também precisaria de acesso a outro dispositivo unido ou registrado ao Entra ID para completar esse fluxo. A nova pesquisa mostra uma segunda opção: tratar a chave do Windows Hello for Business como uma chave de passe FIDO2 através do protocolo de autenticação WebAuthn.
Impacto no Microsoft Entra ID
O WebAuthn é amplamente usado para autenticação sem senha e login resistente a phishing. Ao gerar uma afirmação WebAuthn válida com a chave Windows Hello da vítima, um atacante poderia autenticar no Microsoft Entra ID de uma máquina separada. Os tokens de acesso resultantes podem não ter um identificador de dispositivo porque o login não inclui o estado de registro normal do dispositivo da vítima.
Esse identificador de dispositivo ausente pode ser útil para um atacante. Tokens sem estado vinculado ao dispositivo podem ser usados para registrar um novo dispositivo controlado pelo atacante no Entra ID. A partir daí, um atacante poderia tentar obter um PRT, estabelecer persistência ou adicionar novos métodos de autenticação, como chaves de passe.
A pesquisa também destaca um desafio para as políticas de Acesso Condicional. Como o Windows Hello e o FIDO2 são considerados métodos de autenticação resistentes a phishing, um fluxo de autenticação forjado baseado em uma sessão comprometida pode satisfazer políticas que exigem autenticação multifator forte.
Defesas e monitoramento
Os defensores devem monitorar os logs de login do Entra ID para autenticações do Windows Hello for Business onde o ID do dispositivo está vazio. Embora isso possa ocorrer legítimamente em sessões de navegação privada ou navegadores sem suporte a single sign-on, deve ser relativamente incomum em muitos ambientes corporativos.
As organizações também devem investigar registros de dispositivo inesperados, novos métodos de autenticação adicionados, atividade de token incomum e logins que seguem o comprometimento do endpoint. Proteger sessões do Windows ativas permanece essencial, porque o ataque depende de malware já executando como o usuário alvo.
O que os CISOs devem fazer
Equipes de segurança devem revisar as políticas de Acesso Condicional para garantir que o estado do dispositivo seja validado rigorosamente, mesmo quando métodos de autenticação fortes são usados. A implementação de monitoramento de anomalias em logs de identidade é crucial para detectar assinaturas de chaves WHFB em dispositivos não gerenciados ou desconhecidos.
Além disso, a segmentação de rede e o controle de acesso baseado em função devem ser reforçados para limitar o impacto de um endpoint comprometido, impedindo que o malware se comunique com serviços de identidade sem autorização prévia.
Perguntas frequentes
O TPM é comprometido? Não, a chave não é extraída, mas usada via interface de assinatura.
É necessário senha? Não, o ataque explora a sessão desbloqueada.
Como mitigar? Monitorar logs de Entra ID para IDs de dispositivo vazios e reforçar políticas de Acesso Condicional.