CVE-2012-0151

Falha na função de verificação de assinatura Authenticode do Windows (WinVerifyTrust) que permite adicionar conteúdo extra a um arquivo executável (PE) assinado sem invalidar a assinatura digital. Isso permite disfarçar um binário malicioso como legitimamente assinado, contornando controles que dependem de Authenticode para decidir se confiam em um executável. O impacto real depende de execução assistida pelo usuário — não é uma falha explorável remotamente sem interação, mas é atraente para quem já convenceu a vítima a baixar/executar algo, pois evita alertas de assinatura inválida.

A vulnerabilidade está no cálculo/validação do digest usado pelo Authenticode para checar a integridade de um PE assinado. O formato Authenticode assina um hash calculado sobre partes específicas do arquivo (excluindo o próprio blob de assinatura), mas a implementação do WinVerifyTrust não detectava corretamente quando bytes adicionais eram anexados ou inseridos ao arquivo fora do que o hash cobria. Isso é classificado pela CISA como CWE-20 (Improper Input Validation): a rotina de verificação aceita um arquivo modificado como 'validamente assinado' quando na prática o conteúdo real do binário já não corresponde ao que foi assinado pelo publisher original.

Requer que o atacante já tenha em mãos um arquivo PE legitimamente assinado por algum publisher confiável e o modifique adicionando conteúdo extra (payload, código, dados) sem quebrar a assinatura Authenticode aos olhos do WinVerifyTrust. O arquivo resultante ainda aparece como 'assinado e válido' no Windows, incluindo diálogos de UAC e verificações que dependem dessa API. A descrição oficial da Microsoft classifica isso como exploração que exige ação do usuário ('user-assisted'): a vítima precisa executar ou instalar o arquivo malicioso — não há vetor de rede direto ou execução sem interação. A CISA incluiu esta CVE no catálogo KEV em junho de 2022, dez anos após a publicação original, o que indica exploração ativa identificada tardiamente — consistente com uso da técnica por malware que abusa de binários assinados para evadir controles baseados em confiança de assinatura, embora as fontes consultadas não detalhem a campanha específica.

A correção oficial é a aplicação do boletim MS12-024 (KB2653956), que altera o WinVerifyTrust para realizar verificação estrita do PE, tratando como 'não assinado' qualquer arquivo com conteúdo que não esteja conforme a especificação Authenticode. Após o patch, binários que dependiam desse comportamento leniente de verificação podem passar a exibir assinatura como inválida — a própria Microsoft documenta isso como problema conhecido pós-atualização (KB2653956), então times de operação devem esperar falsos positivos em software legítimo empacotado de forma não conforme e ter um plano de triagem.

Não há indicador de rede a monitorar, já que a exploração ocorre localmente na verificação do arquivo assinado, sem tráfego característico. O sinal prático é forense/endpoint: binários que passam verificação de assinatura Authenticode como válidos mas cujo hash de arquivo, tamanho ou estrutura PE diverge do esperado para aquele certificado/publisher — ou arquivos assinados com anexos de dados incomuns após o bloco de assinatura. Sem o patch aplicado, não há forma confiável de distinguir na interface do Windows um PE legitimamente assinado de um manipulado dessa forma; ferramentas de análise estática de PE que recalculam o digest de forma independente do WinVerifyTrust são a única via de detecção retroativa.