A autenticação sem senha sempre foi apresentada como uma das principais barreiras contra ataques de roubo de credenciais.
No entanto, uma nova pesquisa mostra que, quando um computador já está comprometido, essa proteção pode não ser suficiente para impedir que invasores obtenham acesso prolongado aos serviços em nuvem da Microsoft.
O pesquisador de segurança Dirk jan Mollema revelou uma técnica que permite que um malware, já em execução durante uma sessão autenticada do Windows, utilize a chave do Windows Hello for Business para realizar autenticação no Microsoft Entra ID.
Certamente o detalhe mais preocupante é que o processo acontece sem extrair a chave privada, sem descobrir o PIN do usuário e sem solicitar qualquer autenticação biométrica.
Como o ataque funciona
Segundo Mollema, o comportamento é consequência do próprio funcionamento do Windows Hello for Business. Enquanto o usuário permanece conectado ao sistema operacional, o Windows continua permitindo que aplicações executadas naquela sessão solicitem operações de assinatura criptográfica utilizando a chave armazenada no dispositivo.
Na prática, qualquer código malicioso executado com as permissões do usuário consegue pedir ao Windows que assine desafios de autenticação. Isso elimina a necessidade de privilégios administrativos e também dispensa o roubo direto da credencial protegida pelo TPM.
O pesquisador destaca que essa característica não representa uma falha tradicional do sistema, mas sim uma consequência da arquitetura atual da solução de autenticação da Microsoft.
Persistência dentro do Microsoft Entra ID
Após utilizar a chave do Windows Hello para autenticação, o invasor pode estabelecer uma presença muito mais duradoura na infraestrutura da vítima.
Entre as possibilidades demonstradas estão o registro de um novo dispositivo controlado pelo atacante, a obtenção de um Primary Refresh Token, conhecido como PRT, além da inclusão de novos métodos de autenticação quando as políticas da organização permitem essa ação.
Como o PRT pode permanecer válido por até noventa dias e ser renovado automaticamente enquanto o dispositivo continua em uso, o acesso ao ambiente corporativo pode permanecer ativo por um longo período, dificultando sua identificação.
O que mudou em relação às pesquisas anteriores
Mollema já havia apresentado um método semelhante durante a DEF CON 32, realizada em 2024. Na ocasião, entretanto, era necessário que o invasor tivesse acesso a um equipamento previamente registrado no Microsoft Entra ID.
A nova pesquisa elimina essa limitação.
O pesquisador descobriu que é possível tratar a chave do Windows Hello for Business como uma passkey baseada em FIDO2 utilizando WebAuthn. Além disso, o desafio de autenticação emitido pelo Entra ID possui validade de cinco minutos e não fica vinculado ao dispositivo, ao usuário ou ao locatário específico.
Isso permite que o desafio seja solicitado em outro computador enquanto o equipamento comprometido apenas realiza a assinatura criptográfica necessária para validar a autenticação.
Utilizando o ROADtools, um conjunto de ferramentas voltado para interações com o Microsoft Entra ID, o invasor consegue transformar essa assinatura em tokens válidos ou até abrir uma sessão autenticada no navegador como se fosse o usuário legítimo.
Limitações da proteção contra phishing
Um dos pontos mais relevantes da pesquisa é que ela demonstra uma limitação importante da autenticação resistente a phishing.
Embora a chave continue protegida pelo hardware e jamais seja exportada do dispositivo, um malware executado dentro da sessão autenticada consegue utilizá la normalmente para atender aos desafios criptográficos enviados pelo Entra ID.
Segundo Mollema, esse processo também pode satisfazer políticas de Conditional Access que exigem autenticação resistente a phishing, além de ser reconhecido como uma autenticação multifator recente. Dependendo da configuração do ambiente, isso ainda pode permitir o cadastro de novas passkeys ou novas chaves do Windows Hello for Business, ampliando a persistência do ataque.
Vale destacar que políticas relacionadas ao estado ou à conformidade dos dispositivos ainda podem interromper essa sequência em determinados ambientes, impedindo que todas as etapas sejam concluídas.
Não há exploração conhecida
Até o momento, não existem evidências públicas de exploração ativa dessa técnica.
Também não há registro de um identificador CVE ou de um boletim oficial da Microsoft relacionado ao comportamento descrito. O pesquisador afirma que o método depende obrigatoriamente de o invasor já possuir execução de código dentro da sessão autenticada da vítima, o que significa que o comprometimento inicial continua sendo um requisito indispensável.
Como identificar possíveis abusos
Para equipes de seguarança, a principal recomendação é monitorar autenticações do Windows Hello for Business que apresentem ausência do identificador do dispositivo durante o processo de login.
Esse indicador pode sinalizar uma tentativa de abuso da técnica, embora navegadores em modo anônimo ou sessões sem Single Sign On também possam gerar o mesmo comportamento, exigindo análise cuidadosa antes de qualquer conclusão.
A pesquisa reforça que autenticação sem senha continua sendo uma camada importante de proteção, mas também evidencia que nenhum mecanismo consegue impedir abusos quando um invasor já conquistou acesso ao dispositivo do usuário.
Em outras palavras, se o malware já está dentro da máquina, ele pode aproveitar a confiança existente entre o sistema operacional e a infraestrutura de autenticação para ampliar significativamente o impacto da invasão.
