Microsoft corrige falha no Windows com 10 anos e que expunha a ataques invisíveis

A Microsoft corrigiu uma vulnerabilidade ativa no Windows. Esta existia há mais de uma década sem que ninguém se apercebesse. A atualização mais recente corrigiu a falha que afetava diretamente o Arranque Seguro do Windows. Sem ela, os utilizadores estariam expostos a ataques de terceiros capazes de contornar a Inicialização Segura.

Microsoft corrige falha com 10 anos

A falha está relacionada com o Secure Boot, o mecanismo responsável por verificar se apenas são executados softwares fidedignos durante o arranque do sistema. Os investigadores descobriram que onze versões antigas do bootloader (bootloader) ainda apareciam como fidedignas na base de dados do Secure Boot. O problema é que estes carregadores continham vulnerabilidades conhecidas há anos.

Os módulos de arranque (bootloader shims) funcionam como uma ponte entre o firmware UEFI e o bootloader principal. O curioso neste caso é que não é necessário ter o software vulnerável instalado para ser atacado. Um hacker pode montar a sua cópia de um destes módulos de arranque desatualizados e executá-lo em qualquer computador que confie num certificado da Microsoft de 2011.

Esta técnica é conhecida como BYOVB e funciona porque o sistema não distingue entre um bootloader legítimo e um desatualizado se ambos tiverem a assinatura correta. Outro pormenor é que o risco não se esgota no próprio shim, uma vez que estes bootloaders de primeira fase dão frequentemente lugar a um segundo bootloader, que nas suas versões mais antigas também apresenta vulnerabilidades de segurança.

Windows exposto a ataques invisíveis

A vulnerabilidade é grave porque ocorre num momento em que muitas das medidas de segurança do Windows ainda não foram carregadas. Se um hacker conseguir executar um código malicioso nesse instante, poderá instalar malware capaz de se ocultar do sistema operativo. Nem o Windows Defender nem os antivírus mais populares conseguiriam eliminar a ameaça, uma vez que esta é executada antes mesmo de serem iniciados.

Foi esclarecido que o problema não está no Windows 11 em si, mas sim na cadeia de confiança que a Microsoft mantém para todo o ecossistema de Arranque Seguro. Os módulos afetados provêm de distribuições Linux, ferramentas de diagnóstico de PCs e outros utilitários baseados em UEFI, abrindo caminho para múltiplos cenários de ataque.

A descoberta foi relatada em fevereiro de 2016, e a Microsoft respondeu bloqueando os carregadores de arranque da sua base de dados UEFI legítima. A correção para esta vulnerabilidade está incluída no patch de segurança mais recente. Quem ainda não atualizou o Windows 11, deve certificar-se que instalou a atualização KB5101650 de julho, ou a atualização KB5094126 de junho, uma vez que ambas incluem a correção.