Internet Shortcut Files Security Feature Bypass Vulnerability

Falha de bypass de recurso de segurança em arquivos de atalho de internet (.url) do Windows: um arquivo .url malicioso consegue evitar que o Mark of the Web (MotW) seja propagado corretamente, driblando as verificações do SmartScreen/Proteção de Anexos que normalmente avisam ou bloqueiam conteúdo baixado da internet. Importa porque foi explorada ativamente antes da correção — está no catálogo KEV da CISA com exploração confirmada — e serviu de vetor de entrada para campanhas de infecção com pouquíssima interação do usuário além de um clique.

A Microsoft classifica a falha como CWE-693 (Protection Mechanism Failure) em 'Internet Shortcut Files'. Um arquivo .url é um atalho de texto simples que aponta para um recurso (local ou remoto) e, quando baixado da internet, recebe a marca MotW (o atributo de zona de segurança Zone.Identifier), que é o gatilho para o SmartScreen inspecionar o alvo antes de executar qualquer coisa. O problema está em como o Windows resolve o encadeamento de referências dentro desses arquivos: um .url malicioso pode apontar para outro .url (hospedado remotamente, por exemplo via compartilhamento WebDAV/SMB), e nessa segunda etapa a marca MotW não é aplicada da mesma forma, então o payload final escapa da verificação do SmartScreen.

O atacante controla o conteúdo do arquivo .url inicial entregue à vítima e o destino/payload referenciado na cadeia — normalmente um executável ou script hospedado em servidor externo. O que a Microsoft corrige é justamente a propagação/verificação de MotW nesse encadeamento, não uma execução remota de código em si: a CVE é um bypass de controle preventivo, não uma RCE direta, embora na prática ela habilite a execução de código malicioso sem o aviso que deveria detê-la.

A explicação seca da Microsoft ('security feature bypass') esconde a peça mais importante: exige interação do usuário (UI:R no vetor CVSS) — a vítima precisa abrir/clicar em um arquivo .url recebido por e-mail, download ou link. Não há execução remota sem esse clique. Uma vez clicado, a cadeia de atalhos encadeados leva a busca de um segundo recurso remoto sem que o SmartScreen intercepte o download, permitindo que o payload final seja executado como se fosse conteúdo local confiável.

Há relatos públicos de exploração por grupos de ameaça associando esse tipo de técnica (arquivos .url encadeados via WebDAV) a campanhas de phishing direcionadas antes da divulgação oficial da Microsoft, o que motivou a entrada imediata no catálogo KEV da CISA já na data de publicação (13/02/2024) com prazo de correção de três semanas — prazo curto, típico de vulnerabilidade com exploração confirmada em campo, não hipotética. Existe PoC pública, o que reduz a barreira técnica para replicar o bypass fora do contexto original de exploração.

A correção definitiva é aplicar a atualização de segurança da Microsoft referente a fevereiro de 2024 (Patch Tuesday) para a versão específica do Windows em uso — a listagem exata de builds/KBs por versão está no advisory do MSRC (CVE-2024-21412) e deve ser conferida por produto, já que os pacotes variam entre Windows 10, Windows 11 e Windows Server 2019. Não há aqui uma versão de build numerada específica confirmada para citar; a referência confiável é sempre o MSRC para a versão exata instalada.

Como controle compensatório quando a atualização não pode ser aplicada de imediato: restringir ou bloquear a abertura de arquivos .url recebidos por e-mail ou download (via política de anexos/gateway), desabilitar ou filtrar tráfego SMB/WebDAV de saída para destinos externos não confiáveis, e reforçar treinamento contra clique em atalhos de internet inesperados. Isso reduz a superfície mas não fecha a falha — o bypass do MotW continua presente em sistemas não corrigidos. Não conte apenas com o SmartScreen ativo como mitigação: é exatamente o controle que a falha contorna.

Não há assinatura única e confiável, já que o vetor é um arquivo .url comum — o indicador mais útil é comportamental: arquivos .url que referenciam outro .url remoto (encadeamento), especialmente via caminhos WebDAV/SMB (ex.: acessos a compartilhamentos externos com URI do tipo file:// ou \\host\...), seguidos de download e execução de um binário logo após a abertura do atalho. Monitorar conexões SMB/WebDAV outbound para IPs ou domínios externos incomuns e correlacionar com abertura recente de arquivos .url recebidos por e-mail ou navegador é o sinal prático mais próximo de detecção nesse cenário, já que o próprio bypass é desenhado para não gerar o alerta padrão do SmartScreen.