O investigador de segurança que utiliza o pseudónimo "Nightmare Eclipse" disponibilizou publicamente uma nova vulnerabilidade zero-day, batizada de LegacyHive, que afeta sistemas operacionais da Microsoft. O exploit permite que atacantes consigam realizar uma escalada de privilégios, mesmo em computadores que se encontrem totalmente atualizados.
A publicação do código de prova de conceito (PoC) ocorreu poucas horas após a gigante tecnológica ter lançado as suas correções de segurança de julho de 2026. Segundo o especialista, o problema reside especificamente no Windows User Profile Service, um componente do sistema que ainda não recebeu um identificador CVE oficial para facilitar a sua monitorização.
Restrições no código evitam ataques massivos
Ao contrário de ferramentas anteriormente partilhadas pelo mesmo investigador, a PoC do LegacyHive foi modificada propositadamente para exigir credenciais adicionais. Esta medida visa dificultar a sua utilização direta por cibercriminosos em campanhas maliciosas de grande escala.
Para que a exploração tenha sucesso, o código exige o acesso a credenciais de um segundo utilizador padrão, além de um terceiro nome de utilizador que pode corresponder a uma conta de administrador. Caso estas condições sejam cumpridas, o sistema monta a colmeia (hive) do utilizador visado na raiz das classes do utilizador atual.
O investigador esclareceu que a remoção de funcionalidades originais serviu para travar a exploração pública imediata. Na sua versão inicial e não partilhada, o LegacyHive não dependia de credenciais extra nem estava limitado à colmeia usrclass.dat, permitindo carregar qualquer secção do registo do Windows.
Execução automatizada de código preocupa especialistas
Especialistas do setor já validaram a eficácia do exploit no mundo real. Will Dormann, analista principal de vulnerabilidades na Tharros, confirmou que utilizadores sem privilégios administrativos podem modificar a colmeia de registo de classes. Como consequência prática, os atacantes conseguem garantir a execução automática de código malicioso assim que a conta de administrador iniciar sessão no computador comprometido.
A comunidade de cibersegurança reagiu rapidamente à ameaça. Kevin Beaumont confirmou o funcionamento do LegacyHive e publicou de imediato regras de deteção específicas para o Microsoft Defender for Endpoint (MDE), ajudando as equipas de TI empresariais a identificar possíveis intrusões.
Nos últimos meses, o perfil Nightmare Eclipse tem estado associado à revelação de múltiplas falhas zero-day que afetam as defesas da empresa de Redmond. Entre os componentes visados encontram-se o BitLocker e o antivírus integrado, através de exploits conhecidos como RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend. A tecnológica corrigiu grande parte destas vulnerabilidades entre junho e julho, mas respondeu aos alertas com ameaças de processos judiciais, gerando forte contestação entre os profissionais da área.
Nenhum comentário
Seja o primeiro!