Vulnerabilidade sem adesivo expõe NTLMv2 a ligações manipuladas por manejadores de URI

Pesquisadores em cibersegurança descreveram uma vulnerabilidade sem adesivo que permite a um atacante provocar a filtração do hash NTLMv2 de um usuário ao induzir a abertura de links manipulados no navegador. Embora a mecânica relembra o incidente resolvido em abril de 2026 com o gerenciador de URI do Snipping Tool (ms-screensketch), a nova técnica aproveita o manejador search: com parâmetros tipo crumb=location: para forçar o sistema a ligar contra um recurso controlado pelo atacante e assim capturar o Net-NTLMv2 que a equipe tenta enviar para autenticar-se.

A raiz do problema é a mesma classe de falha: um gerenciador de protocolo que aceita parâmetros fornecidos pelo usuário sem validar e que, ao processar, provoca uma conexão saliente para rotas UNC. Essa conexão a um servidor SMB malicioso desencadeia o protocolo NTLM e expõe o hash, que um atacante pode usar para relé ou tentar autenticar-se dentro de uma rede comprometida. Casos anteriores já tinham mostrado como parâmetros como filePath ou crumb podiam ser explorados para o mesmo fim; empresas como Varonis documentaram utilizações. crumb Em 2024, e fornecedores como Huntress publicaram análises sobre as derivações recentes.

A decisão da Microsoft de não publicar um adesivo para este achado sob o argumento de que não atingiu o seu limiar de gravidade para servicing deixa as organizações frente a um risco operacional concreto: na ausência de um arranjo oficial, os vetores continuam sendo explorados por atores que possam atrair usuários a links maliciosos incorporados em e-mails ou páginas web. Isso faz especialmente relevante a proteção na periferia da rede e as políticas de controle de protocolo e porto em estações de trabalho.

Em termos de impacto, a exposição do Net-NTLMv2 é perigosa porque o hash pode servir como base para ataques de relé e movimentos laterais, e porque muitos ambientes corporativos continuam permitindo ou tolerando NTLM por compatibilidade com software legado. Uma única conta com privilégios elevados cuja credencial parcial se filtre pode facilitar escalada e persistência em uma rede, com consequências que incluem exfiltração de dados, implantação de malware ou comprometimento de serviços internos.

Como contramedidas imediatas práticas e viáveis, é aconselhável bloquear o tráfego SMB saliente (TCP/445 e TCP/139) em equipamentos que não necessitem de comunicar com servidores internos por esses portos de redes públicas ou sub-redes inseguras. Complementariamente, forçar a assinatura SMB e habilitar as políticas de proteção estendida de autenticação reduz a possibilidade de um hash capturado ser reutilizado com sucesso em sua contra. Onde for viável, as organizações devem planejar a eliminação gradual de NTLM em favor de Kerberos e outras autenticações mais seguras.

Desde a camada de detecção e resposta, há que monitorar tentativas incomuns de autenticação NTLM para destinos externos, revisar registros de conexões SMB e implantar regras EDR que alertem sobre processos que lancem manejadores de URI com parâmetros externos. A consciência do pessoal continua a ser crítica: técnicas de engenharia social que induzem o clique continuam a ser o vetor preferido, pelo que a formação e a filtragem de correio com sandboxing ajudam a reduzir a probabilidade de exploração.

No plano estratégico, este incidente lembra duas lições: primeiro, que os manejadores de protocolos locais podem converter-se em portas de saída se aceitarem entradas não validadas; segundo, que as decisões dos fornecedores sobre o adesivo podem deixar lacunas que requerem contramedidas a nível de configuração e arquitetura pelos responsáveis pela segurança. Implementar segmentação de rede, restrições de egress e regras de firewall por host são medidas que mitigarão a exposição enquanto se espera um adesivo formal.

Aqueles que querem aprofundar podem ler análises e publicações técnicas das equipes que investigaram variantes deste ataque em blogs especializados e documentação oficial sobre NTLM e SMB. Recursos úteis para contextualizar e planejar mitigações incluem as entradas de fabricantes e da comunidade sobre NTLM e manejo de SMB, como a documentação técnica da Microsoft sobre NTLM e as publicações de empresas de segurança que documentaram explorações com parâmetros gerenciadores de URI: https://learn.microsoft.com/en-us/windows-server/security/ntlm/ e https://www.varonis.com/blog, além dos relatórios e blogs de pesquisa de sites especializados como https://www.huntress.com/blog.

Finalmente, a minha recomendação para responsáveis pela TI e segurança é priorizar controlos que não dependem de um adesivo do fornecedor: bloquear SMB cessante desnecessário, reforçar a assinatura do SMB, planejar a desactivação da NTLM e melhorar a monitorização de autenticações. Estas medidas reduzem a janela de oportunidade dos atacantes e aumentam o custo de exploração mesmo que a vulnerabilidade continue a ser corrigida pelo fabricante.