Windows Spoofing Vulnerability

Falha na validação de assinaturas Authenticode do Windows (CWE-347) que permite anexar dados arbitrários ao final de um arquivo legitimamente assinado — notoriamente instaladores MSI — sem invalidar a assinatura. Isso permite disfarçar malware dentro de um arquivo que o Windows reporta como "assinado e confiável", contornando controles de segurança e produtos que decidem confiar em binários com base apenas na validade da assinatura. Ficou conhecida como "GlueBall", nome dado pelo pesquisador que a reportou à Microsoft em 2018 — dois anos antes da correção, segundo reportagem da Krebs on Security.

O Windows valida a assinatura Authenticode de um arquivo verificando apenas a região de bytes que o próprio formato do arquivo declara como "assinada" (por exemplo, a estrutura OLE de um MSI). O problema é que a rotina de verificação não confere se existem dados extras após essa região declarada. Um atacante pode concatenar bytes arbitrários ao final de um MSI validamente assinado por qualquer editora — sem tocar na chave privada de ninguém — e o WinVerifyTrust continua reportando a assinatura como válida, ignorando completamente o conteúdo anexado.

O caso documentado pela VirusTotal (pesquisa anterior ao patch, mas que descreve o mesmo mecanismo de fundo) mostra por que isso é especialmente perigoso quando o payload anexado é um JAR: o formato ZIP/JAR é lido de trás para frente — o parser localiza primeiro o "end of central directory" no final do arquivo e a partir dali reconstrói a estrutura, ignorando qualquer lixo antes dele. Resultado: um único arquivo é simultaneamente um MSI validamente assinado (do ponto de vista do Windows) e um JAR executável válido (do ponto de vista da JVM).

Essa é uma vulnerabilidade de spoofing, não de execução remota direta: ela não entrega code execution por si só, mas quebra a garantia que soluções de segurança e políticas de allowlisting (produtos de AV que pulam inspeção profunda em arquivos assinados por editoras confiáveis, políticas de execução baseadas em assinatura) usam para decidir se um arquivo pode ser carregado ou executado sem escrutínio adicional. O vetor CVSS local (AV:L) reflete que o arquivo malicioso precisa chegar e ser processado localmente no sistema; não há componente de rede na exploração.

Pré-requisito central: o atacante precisa de um arquivo (MSI, no caso documentado) já assinado digitalmente por qualquer editora legítima — não precisa comprometer certificado nem chave privada, apenas partir de um instalador assinado publicamente disponível. A ele se anexa o payload malicioso (por exemplo, um JAR) ao final do arquivo. Como a assinatura permanece "válida" para o Windows, o arquivo passa por controles que confiam em binários assinados sem inspeção adicional.

A cadeia de exploração completa depende de um segundo passo: algo precisa efetivamente processar/executar a porção anexada — por exemplo, a JVM abrindo o mesmo arquivo como JAR, ou algum componente que trata dados no final do arquivo como um payload separado. Ou seja, a falha por si só é um bypass de validação de assinatura (spoofing); o impacto prático (C:H/I:H/A:H no CVSS) materializa-se quando essa evasão é combinada com um mecanismo de execução ou com um produto de segurança que usa a assinatura como critério único de confiança para permitir carregamento de driver, DLL ou execução de script.

A CVE está no catálogo KEV da CISA como exploração confirmada em ambiente real (adicionada em novembro de 2021), embora a CISA não classifique o uso como associado a campanhas de ransomware conhecidas ("Unknown"). Não há detalhamento público, nas fontes consultadas, de qual campanha específica abusou dela nem de payloads usados in-the-wild — apenas a confirmação de exploração ativa e a técnica geral descrita por pesquisadores.

A correção real é aplicar a atualização de segurança da Microsoft que corrige a rotina de validação de assinatura para as versões do Windows 10 listadas no advisory (1507, 1607, 1709 — 32-bit e demais arquiteturas, 1803, 1809, 1903 32-bit e ARM64). A atualização foi publicada no boletim de agosto de 2020, mesma data de publicação da CVE; números exatos de KB por versão não constam nas fontes consultadas para esta página — confirme no portal MSRC da CVE-2020-1464 qual atualização cumulativa corresponde à sua build específica antes de considerar corrigido.

Como controle compensatório caso o patch não possa ser aplicado imediatamente: não usar validade de assinatura Authenticode como critério único de confiança em políticas de allowlisting, EDR ou regras de AppLocker/WDAC — prefira allowlisting por hash exato do arquivo, que não é afetado por dados anexados. Reduzir a superfície de abuso do vetor JAR-em-MSI específico documentado significa revisar associações de arquivo e mecanismos que processam MSI ou outros formatos de contêiner assinados sem re-hash de todo o conteúdo.

O que não funciona: revogar o certificado do editor que assinou o arquivo original não mitiga nada, porque o atacante nunca precisou da chave privada — ele apenas reaproveitou uma assinatura legítima preexistente em qualquer arquivo assinado publicamente disponível. Do mesmo modo, confiar em "o arquivo tem assinatura válida" continua sendo, depois do patch, uma garantia sobre a região assinada declarada, não uma garantia de que nada foi anexado por ferramentas que ainda não reimplementam a verificação corrigida.

Não há assinatura de detecção oficial publicada pela Microsoft ou pela CISA para esta CVE nas fontes consultadas — a entrada do KEV apenas confirma exploração ativa, sem indicadores técnicos específicos (IOCs, hashes, regras YARA). A pesquisa da VirusTotal sobre o vetor MSI+JAR sugere uma heurística útil para caça: procurar arquivos MSI (ou outros formatos assinados) cujo tamanho declarado na estrutura interna do arquivo seja menor que o tamanho real em disco, ou arquivos que sejam parseáveis simultaneamente como MSI válido e como ZIP/JAR válido (presença de assinatura "end of central directory" do ZIP após o offset onde o MSI legítimo deveria terminar). Isso é uma técnica de detecção derivada de pesquisa, não uma regra oficial — trate como heurística a validar em seu próprio ambiente, não como sinal garantido de exploração.