Pesquisador mostra como malware pode manter acesso ao Microsoft Entra ID usando Windows Hello

Um pesquisador de segurança demonstrou que malwares executados em uma sessão já autenticada do Windows podem abusar das chaves do Windows Hello for Business (WHfB) para obter acesso persistente ao Microsoft Entra ID, sem extrair a chave privada, descobrir o PIN ou acionar autenticação biométrica do usuário.

A técnica foi apresentada por Dirk-jan Mollema, pesquisador especializado em Microsoft Entra ID. Segundo ele, um invasor que já tenha conseguido executar código na sessão autenticada da vítima pode utilizar a chave protegida pelo Trusted Platform Module (TPM) para assinar solicitações de autenticação em nome do usuário. O processo ocorre por meio das operações de assinatura disponibilizadas pelo próprio Windows enquanto a sessão permanece ativa e não exige privilégios administrativos.

A partir desse acesso, o atacante pode registrar um dispositivo sob seu controle no Entra ID, obter um Primary Refresh Token (PRT) — utilizado para manter sessões autenticadas nos serviços da Microsoft — e, quando as políticas do ambiente permitirem, adicionar novos métodos de autenticação para garantir persistência na conta comprometida.

Mollema afirma que o comportamento não decorre de uma vulnerabilidade tradicional, mas do próprio funcionamento do Windows Hello for Business. Até o momento, não há relatos de exploração ativa, vítimas conhecidas ou identificação de um CVE relacionado à técnica. Também não havia, até 6 de agosto, qualquer boletim de segurança da Microsoft sobre o tema.

A Microsoft já documenta que as operações de assinatura permanecem disponíveis durante uma sessão autenticada. Em 2024, durante a DEF CON 32, Mollema apresentou uma técnica semelhante, que exigia que o dispositivo comprometido já estivesse registrado ou associado ao Entra ID.

A nova pesquisa elimina essa limitação ao tratar a chave do Windows Hello for Business como uma passkey FIDO2 por meio da API WebAuthn. O pesquisador identificou que o desafio de autenticação do Entra ID, válido por cinco minutos, não está vinculado à sessão, ao usuário ou ao tenant específico. Com isso, um invasor pode solicitar o desafio em outro equipamento e utilizar o endpoint comprometido apenas para gerar a assinatura criptográfica necessária.

Os testes também mostraram que os tokens obtidos dessa forma não incluem um identificador de dispositivo. Sem esse vínculo, o invasor pode registrar um novo equipamento, solicitar um PRT para ele e acessar serviços em nuvem da Microsoft utilizando uma máquina totalmente controlada pelo atacante.

Segundo a documentação da Microsoft, um PRT permanece válido por até 90 dias e é renovado continuamente enquanto o dispositivo estiver em uso, o que pode proporcionar acesso prolongado ao ambiente comprometido.

Outro aspecto observado é que a autenticação realizada via WebAuthn pode atender às políticas de Conditional Access que exigem autenticação resistente a phishing. Além disso, esse login também é reconhecido como uma autenticação multifator recente, permitindo que o invasor adicione novas passkeys ou novas chaves do Windows Hello for Business ao dispositivo registrado, desde que as políticas da organização permitam essa operação.

O pesquisador ressalta, porém, que mecanismos adicionais de segurança, como verificações de conformidade do dispositivo ou políticas específicas de estado do equipamento, podem impedir que toda a cadeia de persistência seja concluída.

Para auxiliar pesquisadores e equipes de segurança, Mollema publicou scripts de prova de conceito em PowerShell no repositório ROADtools, incluindo os arquivos fido_assertion.ps1 e hellopoc.ps1.

Como medida de detecção, o pesquisador recomenda monitorar autenticações do Windows Hello for Business no Entra ID que apresentem Device ID vazio, embora ressalte que sessões legítimas iniciadas em modo anônimo ou navegadores sem Single Sign-On (SSO) também possam gerar esse mesmo padrão, exigindo análise adicional antes da investigação.