Pesquisadores identificam novos ataques de zero-day da Nightmare Eclipse em exploits de RoguePlanet e GreatXML

Desde que surgiu na área de cibersegurança, Nightmare-Eclipse (também conhecido como Chaotic-Eclipse) tem sido um verdadeiro desafio para o Centro de Resposta de Segurança da Microsoft. Recentemente, a disputa entre a gigante de Redmond e o especialista em segurança cibernética ganhou novos capítulos, com o lançamento dos exploits RoguePlanet e GreatXML.

O RoguePlanet se destaca por explorar uma vulnerabilidade no Windows Defender, permitindo que um invasor obtenha privilégios de acesso do tipo SYSTEM. Isso significa que o atacante pode executar comandos com um nível de privilégio superior ao do Administrador padrão. O funcionamento é simples: ao induzir um usuário a rodar um script, o invasor ganha acesso total à máquina, podendo roubar dados ou instalar malware de exfiltração, entre outras atividades maliciosas.

Vale ressaltar que o RoguePlanet depende de uma condição de corrida entre a montagem de ISOs e o Volume Shadow Copy, ou seja, seu funcionamento é baseado em um cronograma específico, tornando as condições necessárias para ativá-lo inconsistentes. Embora os desenvolvedores tenham alcançado 100% de eficácia em algumas instalações, enfrentaram dificuldades em outras.

O GreatXML, por sua vez, representa um burlar menos arriscado para o BitLocker, com condições de exploração mais rigorosas. Para que o bypass funcione, um invasor precisa criar um arquivo específico chamado “unattend.xml” e um diretório de “Recuperação” na partição de recuperação do Windows. Após isso, realizar uma varredura offline com o Windows Defender pode permitir o acesso ao disco protegido pelo BitLocker durante uma reinicialização no ambiente de recuperação.

As exigências para realizar essas ações são bastante altas, mas ainda assim levantam questões sobre comportamentos que podem parecer backdoors no BitLocker e no Ambiente de Recuperação do Windows (WinRE). Há indícios de que pode ser possível disparar uma varredura offline do Defender sem estar logado, embora isso ainda não seja garantido.

Dado que a disputa entre Nightmare-Eclipse e a Microsoft levou à suspensão da conta no GitHub do especialista, ele transferiu suas provas de conceito para a Church of Malware, uma comunidade e repositório de código menos restrito. Curiosamente, uma conta secundária no GitHub permanece ativa.

A Microsoft havia ameaçado ações legais contra Nightmare-Eclipse, mas acabou recuando. O especialista também havia proposto divulgar em massa vulnerabilidades zero-day do Windows, mas mais tarde decidiu não prosseguir com essa ameaça. A equipe de Nightmare-Eclipse declarou que o trabalho no RoguePlanet tomou mais tempo do que o esperado e que não realizarão a divulgação prevista para o dia 14 de julho.