Windows SmartScreen Security Feature Bypass Vulnerability

Falha no Microsoft Defender SmartScreen que permite a um atacante burlar a marcação Mark of the Web (MOTW) em arquivos baixados da internet, usando um arquivo especialmente formatado. Sem a MOTW, o Windows e o Office não aplicam as proteções padrão contra macros e conteúdo não confiável, abrindo caminho para execução de código quando a vítima abre o arquivo. Está no catálogo KEV da CISA com exploração confirmada, e foi associada a campanhas de distribuição do ransomware Magniber antes mesmo da correção.

A vulnerabilidade é classificada como CWE-755 (Improper Handling of Exceptional Conditions). O SmartScreen do Defender é responsável por verificar, no momento em que um arquivo baixado é aberto, se ele carrega a marca Mark of the Web (um Zone.Identifier alternate data stream que indica origem 'Internet'). Um arquivo malformado de forma específica — por exemplo, com uma assinatura digital corrompida ou uma estrutura inesperada — faz com que a rotina de verificação do SmartScreen falhe de forma silenciosa ao processar essas condições excepcionais, e o arquivo acaba sendo tratado como se não tivesse origem externa.

O atacante controla o conteúdo e a estrutura do arquivo entregue à vítima. Ele não precisa de acesso prévio ao sistema; o vetor é inteiramente client-side, dependendo de o alvo abrir o arquivo malicioso. O impacto do CVSS reflete exatamente isso: sem interação do usuário (UI:R) não há exploração, e o resultado direto é apenas a supressão de um aviso de segurança — não execução de código por si só. A gravidade real vem do que essa MOTW ausente destrava a seguir: Office abrindo documentos com macros habilitadas sem o Protected View, ou scripts/executáveis rodando sem o prompt de 'arquivo de origem desconhecida'.

A Microsoft não detalhou publicamente no advisory o formato exato de arquivo ou a rotina de parsing afetada. A atribuição a arquivos com assinatura digital malformada / ZIP com estrutura inválida vem de análises de pesquisadores de campanhas de malware contemporâneas ao patch, não do texto oficial do boletim, que se limita a confirmar o bypass e classificar a falha como Security Feature Bypass de severidade Importante.

O vetor típico é engenharia social: entrega de um arquivo (documento, script ou container como ISO/ZIP) por e-mail, download ou link, explorando a estrutura malformada para que o SmartScreen não aplique a MOTW ao extrair ou salvar o arquivo. A vítima precisa executar a ação de abrir/executar o arquivo — não há exploração remota sem interação. Não é necessária autenticação nem configuração não padrão do Windows; o SmartScreen com configuração default já é suficiente como alvo.

A CISA incluiu a CVE-2022-44698 no catálogo KEV com confirmação de exploração ativa antes da correção estar disponível, o que motivou prazo de correção agressivo (3 semanas) para agências federais dos EUA. Relatos de pesquisadores de segurança à época associaram o bypass a campanhas do ransomware Magniber, distribuído via arquivos JavaScript embutidos em containers, aproveitando exatamente a ausência da MOTW para pular avisos que normalmente alertariam o usuário antes da execução.

O resultado final da exploração não é execução de código pela própria CVE-2022-44698 — é a remoção de uma camada de defesa. O impacto prático depende do payload entregue em conjunto: se for um documento com macro, o usuário pode habilitar conteúdo sem o aviso reforçado do Protected View; se for um script ou executável, ele roda sem o prompt de 'este arquivo pode ser prejudicial'. Por isso o CVSS marca C:N e I:L/A:L — o dano real escala com o que vem depois do bypass.

A correção é aplicar a atualização de segurança do Windows referente ao Patch Tuesday de dezembro de 2022 (publicada em 13/12/2022) para a versão específica de cada produto listado — Windows 10 (1607, 1809, 20H2, 21H1, 21H2, 22H2), Windows 11 21H2 e Windows Server 2016. A Microsoft não publicou números de KB específicos nas informações disponíveis aqui; o caminho correto é consultar o Update Guide da Microsoft para a build exata em uso e confirmar que a atualização cumulativa de dezembro/2022 ou posterior foi instalada.

Como paliativo quando a atualização não pode ser aplicada de imediato, reforçar controles compensatórios que não dependem da MOTW: bloquear a execução de tipos de arquivo de risco (JS, VBS, ISO, IMG) recebidos por e-mail ou download no perímetro, desabilitar macros do Office via política de grupo para arquivos originados da internet (independente da MOTW), e restringir a montagem automática de containers ISO/IMG no Explorer. Esses controles não corrigem a falha, mas reduzem a dependência da MOTW como única barreira.

Não funciona como mitigação: apenas orientar usuários a 'prestar atenção aos avisos do SmartScreen', já que o próprio bypass suprime esse aviso — a confiança no comportamento visual do SmartScreen é justamente o que a falha invalida.

Não há assinatura de rede confiável para esse bypass, já que a exploração ocorre localmente na avaliação de MOTW pelo SmartScreen. Como sinal indireto, monitorar a chegada de arquivos com Zone.Identifier ausente ou inconsistente em endpoints que deveriam ter recebido o arquivo via download da internet (e-mail, navegador), além de alertas de EDR para execução de scripts (JS/VBS) ou macros de Office sem o prompt de Protected View esperado, o que pode indicar que a MOTW foi suprimida antes da abertura.