Windows AppX Installer Spoofing Vulnerability

Falha de spoofing no Windows App Installer (AppX/MSIX) que permite a um pacote MSIX malicioso se apresentar como software legítimo e contornar proteções como o Microsoft Defender SmartScreen e os avisos de download de executáveis do navegador. Importa porque virou vetor de entrada recorrente para malware comercial e ransomware humano-operado: usada por Emotet/Trickbot/BazarLoader em 2021 e, de novembro a dezembro de 2023, por múltiplos grupos financeiramente motivados (Storm-0569, Storm-1113, Sangria Tempest/FIN7, Storm-1674) para entregar Black Basta, DarkGate, GHOSTPULSE e outros.

A vulnerabilidade está no mecanismo ms-appinstaller, um protocol handler de URI que permite instalar um pacote MSIX diretamente a partir da web sem baixar o arquivo primeiro para o disco local. Esse fluxo pula as camadas de verificação que normalmente se aplicam a downloads de executáveis — o Defender SmartScreen e os avisos nativos do navegador para arquivos executáveis não são acionados da mesma forma, porque o pacote é instalado via protocolo em vez de passar pelo pipeline padrão de download. É uma falha de spoofing (não execução remota de código por si só): o atacante consegue fazer o instalador parecer confiável e assinado enquanto entrega payload malicioso empacotado como app MSIX legítimo (ex.: disfarçado de Adobe Acrobat, Zoom, Teams, OneDrive/SharePoint).

O CVSS 3.1 (AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H) reflete que a exploração exige interação do usuário (UI:R), privilégio local baixo (PR:L) e complexidade de ataque alta (AC:H) — não é uma falha que se explora remotamente sem participação da vítima. O ponto central da mecânica de abuso é o próprio design do handler ms-appinstaller: ele foi construído para instalação simplificada de apps assinados, mas isso criou um caminho que bypassa controles antimalware de nível de navegador/SO.

A Microsoft reconhece que a causa raiz é estrutural ao protocolo, não um bug pontual e corrigível de uma vez: mesmo após o patch inicial de dezembro de 2021/fevereiro de 2022, o handler foi reabilitado em algum momento entre fevereiro de 2022 e dezembro de 2023 (a Microsoft não esclareceu quando nem por quê), e o abuso em massa recomeçou. Isso levou a uma segunda desativação por padrão em dezembro de 2023, via a versão 1.21.3421.0 do App Installer.

O vetor real é phishing: o atacante distribui um pacote MSIX malicioso assinado (ou um link ms-appinstaller://) via anúncios maliciosos de software popular (SEO poisoning para Zoom, Tableau, TeamViewer, AnyDesk), mensagens de phishing no Microsoft Teams (usando ferramentas como TeamsPhisher) simulando OneDrive/SharePoint, ou landing pages falsas pedindo 'atualização' do Adobe Acrobat Reader. A vítima precisa clicar no link/anexo e confirmar a instalação — não há exploração silenciosa sem interação do usuário, e usuários operando com privilégios administrativos sofrem impacto maior segundo a própria Microsoft.

Uma vez instalado, o pacote MSIX entrega loaders e RATs que servem de ponto de apoio: EugenLoader/FakeBat, BATLOADER, SectopRAT, DarkGate, GHOSTPULSE, entre outros — que por sua vez baixam Cobalt Strike, Carbanak, Gracewire, NetSupport RAT ou POWERTRASH, culminando frequentemente em ransomware operado por humanos (Black Basta é o caso documentado ligando Storm-0569/Storm-0506). Está no catálogo KEV da CISA com confirmação de exploração ativa e uso em campanhas de ransomware.

A campanha de 2021 (Emotet/Trickbot/BazarLoader) já demonstrava o padrão: pacotes hospedados em domínios *.web.core.windows.net do Azure disfarçados de software Adobe. A onda de 2023 mostrou que o mesmo vetor é vendido como kit de malware 'as a service' por múltiplos grupos cibercriminosos independentes, indicando maturidade e comoditização da técnica, não um exploit isolado.

A correção primária é atualizar o Microsoft App Installer para a versão 1.21.3421.0 ou superior, que desabilita por padrão o protocol handler ms-appinstaller (é possível forçar a atualização via 'winget upgrade Microsoft.AppInstaller', embora a atualização automática pela Microsoft Store também deva ocorrer). Quem não pode atualizar imediatamente deve desabilitar o protocolo manualmente através da Group Policy 'EnableMSAppInstallerProtocol', definindo-a como Disabled — esse é o paliativo documentado pela própria Microsoft.

O histórico mostra um risco de mitigação: a Microsoft desabilitou o handler em fevereiro de 2022 e ele foi reabilitado em algum ponto antes de dezembro de 2023 sem explicação pública, permitindo nova onda de ataques. Isso significa que aplicar o controle uma vez não é garantia permanente — vale conferir periodicamente o estado da política e a versão instalada do App Installer, especialmente após atualizações do Windows ou reinstalação de componentes.

Um comentário registrado no writeup da BleepingComputer aponta que ferramentas de detecção de vulnerabilidade reputadas não sinalizam a ausência da desativação de EnableMSAppInstallerProtocol como um finding — ou seja, não conte com scanners de vulnerabilidade padrão para flagar essa configuração; é preciso verificar manualmente a política de grupo e a versão do App Installer em uso.

Nos logs, procurar por instalações de pacotes MSIX iniciadas via URI ms-appinstaller:// vindas de fontes não corporativas, especialmente após cliques em anúncios de busca ou mensagens do Microsoft Teams contendo links para landing pages imitando Zoom, OneDrive, SharePoint ou Adobe Acrobat. Telemetria de endpoint (EDR) deve ser inspecionada para processos AppInstaller.exe gerando instalações fora do fluxo padrão da Microsoft Store, seguidos de execução de loaders como BATLOADER, FakeBat/EugenLoader, SectopRAT ou DarkGate.

Não há assinatura de rede única e confiável, pois os pacotes MSIX são assinados digitalmente e hospedados em infraestrutura legítima (incluindo Azure Blob Storage com domínios *.web.core.windows.net), o que dificulta detecção baseada só em reputação de domínio. A ausência de bloqueio pelo Defender SmartScreen durante o download/instalação é, por si, um sinal de que o mecanismo abusado pode estar em jogo — mas a confirmação prática exige correlacionar o evento de instalação MSIX com a origem do link (Teams, anúncio, e-mail) e com atividade pós-instalação incomum.