Microsoft Management Console Security Feature Bypass Vulnerability

CVE-2025-26633 é uma falha de bypass de recurso de segurança no Microsoft Management Console (mmc.exe), classificada como CWE-707 (Neutralização Imprópria). Ela permite que um arquivo .msc malicioso seja aberto sem disparar o aviso de segurança que normalmente alerta o usuário sobre console files não confiáveis, sendo explorada ativamente desde antes da divulgação pública como vetor de acesso inicial em campanhas de malware. O CVSS 7.0 (AC:H, UI:R) reflete que a exploração exige engenharia social e uma preparação específica de arquivos, não é um ataque remoto trivial.

O MMC mantém um mecanismo que deveria alertar o usuário sempre que um arquivo .msc é carregado de uma localização não confiável ou não assinada como parte do conjunto padrão do sistema. A falha está na forma como o MMC resolve o caminho de recursos multilíngues (MUI) associado a um console file: ao processar um .msc, o console tenta localizar uma versão de recurso localizada (por exemplo, em uma subpasta de idioma) e, devido à neutralização imprópria desse processo de resolução de caminho, um segundo arquivo .msc — controlado pelo atacante e com nome/estrutura equivalente ao original — pode ser carregado no lugar do arquivo legítimo esperado.

Essa técnica passou a ser descrita publicamente como "MSC EvilTwin": o atacante distribui um par de arquivos, um aparentando ser um console legítimo e outro malicioso posicionado de forma a ser resolvido pela lógica de MUI do MMC, sem que o aviso padrão de "arquivo de fonte não confiável" seja exibido ao usuário. O que o atacante controla é o conteúdo do .msc malicioso (que pode referenciar snap-ins, scripts ou componentes COM) e o layout de diretórios/nomes usado para acionar a resolução incorreta de caminho pelo MMC.

O impacto declarado pela Microsoft é bypass de recurso de segurança, mas o efeito prático documentado por pesquisadores é execução de código sob disfarce de abertura de um console MMC aparentemente inofensivo, já que o aviso que serviria de última barreira de defesa em profundidade não aparece.

A exploração exige interação do usuário (UI:R): a vítima precisa abrir um arquivo .msc entregue por phishing, um link, um arquivo comprimido ou um instalador. O vetor é local (AV:L) — não há exploração remota direta pela rede; o atacante precisa fazer o payload chegar até a máquina da vítima por outro meio (e-mail, download, engenharia social). A complexidade de ataque é alta (AC:H) porque o atacante precisa montar corretamente o par de arquivos "EvilTwin" e o caminho/estrutura de diretórios que engana a resolução de MUI do MMC; não é um exploit de um único arquivo isolado.

A CISA confirmou exploração ativa no mundo real (entrada no catálogo KEV, adicionada em 2025-03-11, com prazo de correção 2025-04-01 para agências federais dos EUA). Relatos de pesquisadores associam a técnica "MSC EvilTwin" ao uso por operações de malware que combinam esse bypass com outras etapas (scripts, instaladores MSI, PowerShell) para entregar backdoors e stealers, usando o MMC como camada inicial que evita o aviso de segurança e facilita a execução silenciosa da cadeia de infecção.

O resultado final para o atacante, quando a cadeia é bem-sucedida, é execução de código no contexto do usuário que abriu o arquivo, sem o alerta que normalmente serviria de sinal de alerta ao usuário — não há elevação de privilégio garantida pela CVE em si; o ganho é evadir a defesa de UI/aviso, não escalar privilégios do sistema.

A correção primária é aplicar as atualizações de segurança da Microsoft referentes a esta CVE para a versão específica do Windows em uso, conforme o MSRC Update Guide. As fontes disponíveis não trazem números de KB por versão de Windows verificados — confirme o KB exato no MSRC Update Guide para cada SKU (Windows 10 1507/1607/1809/21H2/22H2, Windows 11 22H2/22H3/23H2) antes de fechar o ticket de patch, em vez de assumir um número.

Onde a atualização não pode ser aplicada imediatamente, os controles compensatórios reais são: bloquear a execução de arquivos .msc recebidos por e-mail ou download em gateways de conteúdo; restringir via Application Control/AppLocker/WDAC a execução de mmc.exe carregando arquivos fora de diretórios do sistema (System32) ou fora de caminhos assinados pela organização; e usar regras de Redução de Superfície de Ataque (ASR) ou EDR para alertar/bloquear mmc.exe gerando processos filhos incomuns (powershell.exe, cmd.exe, mshta.exe, rundll32.exe). Educar usuários sobre a entrega de .msc por phishing tem valor limitado como controle único, porque a falha justamente remove o aviso que ensinaria o usuário a desconfiar.

Não existe mitigação de configuração nativa amplamente documentada que neutralize completamente a falha sem o patch — bloquear a extensão .msc por completo via política é o paliativo mais efetivo, mas tem custo operacional para ambientes que dependem de consoles MMC customizados distribuídos internamente.

Monitorar lançamentos de mmc.exe com linha de comando referenciando arquivos .msc localizados em diretórios graváveis pelo usuário (Downloads, Temp, AppData, pastas de anexos extraídos), especialmente quando o processo pai é um cliente de e-mail, navegador ou utilitário de descompactação. A presença de dois arquivos .msc com nomes iguais ou muito semelhantes em caminhos diferentes no mesmo host é um indício direto da técnica "EvilTwin". Também vale monitorar processos filhos anômalos de mmc.exe (powershell.exe, cmd.exe, mshta.exe, rundll32.exe, wscript.exe), já que a ausência do aviso de segurança esperado é justamente o que a falha explora — não há um log nativo do Windows que registre "aviso suprimido", então a detecção depende de telemetria de EDR sobre o comportamento do processo, não de um evento único confiável.