Windows Mark of the Web Security Feature Bypass Vulnerability

Falha que permite que um arquivo malicioso baixado da internet escape da marcação Mark of the Web (MotW) e, por consequência, do SmartScreen do Windows — a camada que normalmente avisa o usuário antes de abrir algo baixado de origem não confiável. Está no catálogo KEV da CISA com exploração confirmada, o que pesa mais que o CVSS 6.5 sugere: é peça de cadeias de ataque de phishing/entrega de malware, não uma falha isolada de alto impacto direto.

A Microsoft classifica como CWE-693 (Protection Mechanism Failure) e descreve como bypass da funcionalidade de segurança Mark of the Web. MotW é o atributo (zone identifier, gravado como Alternate Data Stream NTFS) que o Windows aplica a arquivos originados de zonas não confiáveis — internet, e-mail, redes compartilhadas. Aplicações como Office, o próprio Explorer e o SmartScreen consultam essa marcação para decidir se bloqueiam macros, abrem em Visualização Protegida ou disparam o alerta de reputação do SmartScreen.

O CISA KEV nomeia a falha como 'Windows SmartScreen Security Feature Bypass', deixando claro que o efeito prático é o SmartScreen não sendo acionado quando deveria — ou seja, algum caminho de entrega de arquivo faz a marcação de zona não ser propagada ou não ser reconhecida corretamente pelo componente que decide se mostra o aviso.

O vetor CVSS (AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N) indica ataque via rede, sem privilégios prévios, mas com interação obrigatória do usuário — abrir ou executar o arquivo malicioso. Impacto medido apenas em Integridade (Alta), porque a CVE em si não executa código: ela remove a barreira que impediria a execução de algo que executaria código depois. As fontes oficiais disponíveis não detalham publicamente qual formato de arquivo ou qual caminho de manipulação específico (contêiner, atalho, instalador etc.) é usado para burlar a marcação — esse nível de detalhe técnico não está nos advisories consultados.

O vetor de entrega é o clássico de campanhas de malware por e-mail ou download: o atacante precisa convencer a vítima a baixar e abrir um arquivo especificamente construído para explorar a falha (UI:R — interação do usuário é obrigatória, não há execução automática). Não há indicação de necessidade de autenticação prévia no sistema ou de configuração não padrão para a exploração funcionar — o requisito real é o usuário interagir com o arquivo malicioso, o que é o gargalo de qualquer campanha de phishing/engenharia social.

O ganho para o atacante é indireto mas crítico: ao evitar o alerta do SmartScreen e/ou a marcação MotW, o arquivo malicioso final (tipicamente um dropper, script ou documento com conteúdo ativo) é aberto sem o aviso que normalmente faria o usuário hesitar, ou sem que o Office force Visualização Protegida/bloqueio de macro. Isso aumenta a taxa de sucesso da etapa de entrega de uma cadeia de infecção maior — a CVE por si só não compromete o sistema.

A CISA confirma exploração ativa (entrada no KEV desde 13/08/2024, com prazo de correção fixado em 03/09/2024 para agências federais dos EUA), mas as fontes consultadas não trazem detalhes de campanhas específicas, atores de ameaça identificados ou telemetria pública sobre o volume de exploração.

A correção é aplicar as atualizações de segurança da Microsoft de agosto de 2024 (Patch Tuesday) — a MSRC lista CVE-2024-38213 como corrigida a partir dos cumulative updates desse ciclo para as versões afetadas de Windows 10 e Windows 11. Não temos, nas fontes consultadas, o número exato de build/KB por versão; confirme o KB correspondente à sua versão específica de Windows diretamente no Update Catalog/Windows Update antes de considerar o ambiente corrigido.

Como paliativo até a atualização: reforçar controles de bloqueio de download em endpoint/e-mail (gateway de e-mail, sandboxing de anexos) e políticas de restrição de execução de tipos de arquivo comumente usados nessas cadeias (scripts, atalhos, arquivos de disco/contêiner), já que a falha depende de o usuário abrir o arquivo. Isso reduz a superfície mas não fecha a vulnerabilidade em si — o SmartScreen continua potencialmente contornável para quem consegue entregar o arquivo.

Não funciona como mitigação: treinar o usuário para 'confiar no aviso do SmartScreen' como controle único — é exatamente esse aviso que a falha suprime, então a ausência de alerta não é garantia de arquivo seguro enquanto o patch não estiver aplicado.

Não há assinatura ou indicador de comprometimento público e confiável associado especificamente a esta CVE nas fontes consultadas. Como pista geral, monitorar endpoints por execução de arquivos recém-baixados sem o Alternate Data Stream de zone identifier esperado, ou por abertura de documentos Office com conteúdo ativo habilitado sem passar por Visualização Protegida, pode indicar tentativa de exploração — mas isso exige instrumentação (EDR/Sysmon) específica, não um log padrão do Windows.