O pesquisador da Entra ID Dirk-jan Mollema demonstrou que um malware já em execução em uma sessão autenticada do Windows pode usar, sem alertar o usuário, a chave do Windows Hello for Business da vítima para se autenticar no Microsoft Entra ID.
Com isso, o invasor pode estabelecer acesso prolongado à nuvem, registrar um dispositivo sob seu controle, obter um Primary Refresh Token (PRT) e adicionar novos métodos de autenticação quando as políticas do tenant permitirem.
Em sistemas com suporte a TPM, o atacante não extrai a chave privada, não recupera o PIN nem dispara uma solicitação biométrica. O sistema de tickets do Windows mantém as operações de chave privada disponíveis enquanto o usuário permanecer autenticado de forma interativa, permitindo que o código em execução como usuário peça ao Windows para assinar os dados de autenticação. Não são necessários privilégios de administrador.
A técnica exige a execução de código na sessão autenticada da vítima. Mollema descreve esse comportamento como consequência da forma como o Windows Hello for Business funciona e afirma que ele foi mantido sem alteração. A divulgação não relata exploração ativa nem vítimas identificadas. Mollema recomenda monitorar registros inesperados de dispositivos.
A divulgação não informa as versões exatas do Windows testadas nem os modelos de implantação do Windows Hello for Business avaliados. Não foi encontrado CVE nem aviso da Microsoft relacionados à técnica em buscas no Security Update Guide da empresa, no NVD e no CVE.org até 6 de agosto de 2026. O veículo também informou que entrou em contato com a Microsoft e com Mollema, mas ainda aguarda resposta.
A Microsoft documenta esse comportamento de tickets. Mollema afirmou que a capacidade de acionar chaves do Windows Hello for Business a partir de uma sessão comprometida foi apresentada na DEF CON 32, em 2024. Naquela abordagem, era possível gerar uma asserção assinada para um PRT, mas ainda era necessário ter acesso a um dispositivo registrado ou ingressado no Entra.
O novo trabalho remove essa exigência ao tratar a chave do Windows Hello for Business como uma passkey FIDO2 por meio do WebAuthn. Mollema constatou que o desafio de cinco minutos do Entra ID não está vinculado à sessão, ao usuário ou ao tenant.
Assim, um atacante pode solicitar esse desafio em outro host e fazer com que o endpoint comprometido produza a asserção assinada. O ROADtools, framework para interação com o Entra ID, pode usar a asserção para solicitar tokens ou abrir uma sessão de navegador como se fosse a vítima.
Mollema verificou que o token não carrega a reivindicação de ID do dispositivo. Sem esse vínculo, o invasor consegue registrar um novo dispositivo, solicitar um PRT para ele e acessar os serviços em nuvem da Microsoft. A Microsoft documenta que um PRT permanece válido por 90 dias e é renovado continuamente enquanto o usuário usa ativamente o dispositivo.
Mollema também constatou que o login via WebAuthn pode satisfazer políticas de Acesso Condicional que exigem a força de autenticação resistente a phishing da Microsoft. Segundo ele, o login também conta como MFA recente, o que permite ao invasor adicionar passkeys ou chaves do Windows Hello for Business no novo dispositivo, quando as políticas autorizarem. Políticas separadas de estado do dispositivo ou conformidade ainda podem interromper a cadeia, de modo que o caminho completo de persistência não funciona em todas as implantações.
A descoberta expõe um limite da autenticação resistente a phishing: a credencial pode continuar vinculada ao hardware e não ser exportável, enquanto o malware dentro da sessão autenticada do endpoint a aciona em favor do atacante.
Mollema publicou os scripts de prova de conceito em PowerShell no repositório ROADtools. Em 6 de agosto de 2026, encontraram os arquivos fido_assertion.ps1 e hellopoc.ps1 na pasta. Para detecção, ele recomendou buscar logins do Windows Hello for Business com ID de dispositivo vazio. Sessões legítimas de navegador anônimo ou sem SSO também podem gerar o mesmo padrão.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...