Windows SmartScreen Security Feature Bypass Vulnerability

Falha de bypass do SmartScreen/Mark of the Web (MOTW) no Windows, que permite que um arquivo malicioso baixado da internet execute sem os avisos de segurança que o Windows normalmente exibe para conteúdo de origem não confiável. O CVSS de 4.4 sub-representa o risco real: a falha foi explorada ativamente antes da correção, está no catálogo KEV da CISA e foi usada em campanhas de distribuição do ransomware Magniber como sucessora direta de uma técnica anterior (CVE-2022-44698) que a Microsoft já havia corrigido.

A vulnerabilidade é classificada como CWE-863 (Incorrect Authorization). O MOTW é o mecanismo pelo qual o Windows marca arquivos baixados de zonas não confiáveis (internet, e-mail) com um atributo de stream alternativo (Zone.Identifier), fazendo com que Office, SmartScreen e outros componentes tratem esse arquivo com restrições extras — bloqueio de macros, aviso de execução, análise de reputação. O bypass ocorre quando um arquivo é empacotado ou assinado de forma que o subsistema de verificação de assinatura Authenticode do Windows falha em processar corretamente o arquivo, e essa falha de processamento tem como efeito colateral não propagar ou não respeitar a marca MOTW.

Essa falha é a continuação de uma linha de exploração já vista em CVE-2022-44698, na qual arquivos como JS/MSI embutidos em containers com assinaturas Authenticode malformadas escapavam da inspeção de zona porque o componente responsável por herdar o atributo de zona do arquivo container para o arquivo interno não conseguia processar a assinatura corrompida — e, em vez de tratar isso como erro e aplicar a política restritiva por padrão, o sistema simplesmente deixava de aplicar a marca.

O atacante controla o conteúdo do arquivo entregue à vítima e a estrutura da assinatura digital malformada dentro dele. Não há elevação de privilégio nem execução remota diretamente atribuível a essa CVE — o impacto é a supressão de um controle defensivo que normalmente serviria de última barreira antes da execução de outro payload (por isso o CVSS baixo em C/I/A individualmente, mas o E:F/RC:C no vetor reconhece exploração funcional confirmada).

O vetor de entrega é um arquivo malicioso hospedado para download, distribuído tipicamente via anúncios maliciosos (malvertising) ou páginas que simulam downloads de software legítimo. A exploração exige interação do usuário (UI:R no vetor CVSS) — a vítima precisa baixar e abrir o arquivo; não há componente de execução remota automática. O acesso necessário é local (AV:L), refletindo que o ataque se materializa no momento em que o arquivo já está no disco da vítima e é executado, não durante a transferência pela rede.

A cadeia de infecção documentada publicamente associa essa técnica ao ransomware Magniber: como o método anterior (CVE-2022-44698, baseado em arquivos ZIP com JavaScript) havia sido corrigido, os operadores migraram para arquivos MSI com assinaturas Authenticode malformadas para reproduzir o mesmo efeito de bypass do MOTW e do SmartScreen. Com o MOTW ausente, o arquivo executa sem o prompt de aviso de segurança que normalmente aparece para executáveis e instaladores baixados da internet, reduzindo a chance de a vítima abortar a execução e também enfraquecendo controles subsequentes (como bloqueio de macro do Office) que dependem da mesma marca de zona.

A CISA incluiu a CVE no catálogo KEV em 14/03/2023, com prazo de correção definido para 04/04/2023 para agências federais dos EUA — confirmação de exploração ativa antes ou no momento da divulgação, não apenas risco teórico.

A correção oficial foi distribuída pela Microsoft nas atualizações de segurança de março de 2023 (Patch Tuesday, 14/03/2023) para as versões de Windows listadas como afetadas. A ação recomendada pela CISA e pela Microsoft é aplicar as atualizações cumulativas do mês correspondente à build específica de cada versão de Windows/Windows Server em uso; a Vexday não tem, nas fontes verificadas, os números exatos de KB por build individual — confirme a build instalada e aplique a atualização cumulativa de março de 2023 ou posterior listada no Update Catalog/WSUS para essa build específica.

Onde a atualização não pode ser aplicada imediatamente, não existe um paliativo equivalente que restaure a proteção MOTW da mesma forma que o patch — políticas de restrição de execução de anexos e controle de origem de downloads (bloqueio de extensões de instalador e script em gateways de e-mail e proxy, ASR rules do Defender para bloquear execução de conteúdo obfuscado ou de instaladores baixados) reduzem a superfície de exposição mas não corrigem a falha de verificação de assinatura em si.

Não funciona como mitigação: desabilitar o SmartScreen (isso remove a camada de defesa por completo, não a restaura) ou confiar em treinamento de usuário para reconhecer o ausência do aviso — a falha existe justamente porque o aviso não aparece, então a vítima não tem sinal visual de que algo está errado.

Não há assinatura de rede confiável para essa exploração, já que o vetor típico é download via HTTP/HTTPS de arquivo malicioso hospedado em infraestrutura de malvertising, indistinguível de tráfego de download legítimo. No endpoint, os sinais mais úteis são: arquivos executáveis, MSI ou scripts executados sem o stream alternativo Zone.Identifier presente apesar de terem origem confirmada de download (navegador, cliente de e-mail); execução de instaladores MSI com cadeia de assinatura Authenticode inválida ou malformada; e correlação com indicadores de comportamento pós-exploração associados ao Magniber (encriptação em massa de arquivos, criação de tarefas agendadas e artefatos típicos de ransomware) quando a cadeia se completa. Ausência de log nativo do SmartScreen sobre a falha de aplicação do MOTW é o próprio problema — o sistema não registra que deixou de aplicar a marca, então a detecção depende de telemetria de EDR sobre a estrutura do arquivo e da assinatura, não de um log de evento específico da vulnerabilidade.