Cuidado! Vulnerabilidade transforma o Defender numa arma para os hackers

Uma série de ferramentas capazes de explorar uma vulnerabilidade zero-day no Windows Defender foi divulgada por um investigador em conflito com a Microsoft. Claro que foram imediatamente apreendidas por hackers.

Vulnerabilidade transforma Defender numa arma

Uma tática de exploração baseada numa vulnerabilidade zero-day no Windows Defender , o antivírus padrão da Microsoft, acaba de ser publicada online. A divulgação deste método decorre de uma grande disputa entre um investigador de cibersegurança e a Microsoft. Afeta o Windows 10, o Windows 11 e o Windows Server 2019.

Operando sob o pseudónimo Chaotic Eclipse, o investigador descobriu uma vulnerabilidade no código do antivírus. A falha reside no mecanismo de restauro de ficheiros do Windows Defender. O antivírus deveria eliminar quaisquer ficheiros maliciosos que detetasse.

Com um documento malicioso, especificamente concebido para disparar o alarme do Defender, é possível enganar o antivírus no preciso momento em que tenta limpar um ficheiro. Um atacante que explore esta vulnerabilidade pode então executar código malicioso no computador.

Ao recorrer ao MSRC ( Microsoft Security Response Center ), o canal oficial dedicado às vulnerabilidades, o investigador alertou a Microsoft para a falha. Segundo o Chaotic Eclipse, a Microsoft não levou a gravidade da vulnerabilidade a sério. Para forçar a gigante americana a reagir, lançou um exploit inicial, apelidado de BlueHammer.

Aproveitada de imediato pelos hackers contra a Microsoft

Este surgiu no início de abril, permitindo aos utilizadores explorar a vulnerabilidade. Acreditando que a Microsoft está a demorar muito tempo a corrigir a vulnerabilidade, o caçador de vulnerabilidades lançou dois novos exploits, chamados RedSun e UnDefend . A última tática de exploração permite que os atacantes bloqueiem as atualizações do Defender ou até mesmo o desativem completamente.

Em apenas algumas semanas, o investigador reuniu um conjunto completo de ferramentas para comprometer a segurança do Windows, utilizando o seu software antivírus. Estas ferramentas foram criadas para obrigar a Microsoft a reagir e lançar uma correção de forma urgente. Todas as ferramentas foram disponibilizadas no GitHub e os hackers não perderam tempo a utilizá-las.

No mesmo dia, a empresa de segurança Huntress descobriu que os hackers tinham utilizado os métodos do Chaotic Eclipse em ciberataques contra empresas. Apesar da exploração ativa da vulnerabilidade, a Microsoft ainda não lançou uma correção oficial para todas as vulnerabilidades do Defender.

A empresa corrigiu as falhas exploradas pelo BlueHammer com a atualização de abril de 2026. Mas, os vetores utilizados pelo Redsun e pelo UnDefend continuam vulneráveis. Pior ainda, todos os métodos de exploração continuam acessíveis no GitHub.