Windows SmartScreen Security Feature Bypass Vulnerability

Falha no Windows SmartScreen que permite a um invasor construir um arquivo (tipicamente um Internet Shortcut/.url) que, ao ser aberto pela vítima, não dispara o prompt de aviso 'Open File – Security Warning' nem a verificação de reputação do SmartScreen. A CISA confirma exploração ativa antes da correção (zero-day), e pesquisa pública associa a falha a campanhas de distribuição do malware Phemedrone Stealer. Importa porque SmartScreen é a última barreira de UX contra execução de binário desconhecido baixado da internet — burlá-la silenciosamente remove esse atrito sem o usuário perceber nada de anormal.

A vulnerabilidade é classificada pela Microsoft como Security Feature Bypass (CWE-693, falha de mecanismo de proteção), não como execução remota de código em si — o SmartScreen não impede a execução, apenas avisa/pede confirmação; o bug faz esse mecanismo de aviso simplesmente não disparar em certas condições. A raiz reportada por pesquisadores está na forma como o Windows processa arquivos de atalho de internet (.url) e a propagação/verificação do Mark of the Web (MOTW, a zone identifier alternate data stream que marca conteúdo como originado da internet): um .url malicioso, com campos manipulados (como a URL de destino), consegue chegar ao ponto de execução do binário alvo sem que o SmartScreen avalie a reputação do arquivo baixado.

O atacante controla o conteúdo do arquivo de atalho e o binário/URL de destino apontado por ele; a vítima controla apenas o clique. Não há elevação de privilégio embutida na falha em si — o CVSS marca C:H/I:H/A:H porque, uma vez que o SmartScreen é contornado, o que quer que seja executado a seguir (ex.: um stealer) roda com o impacto pleno permitido pelo contexto do usuário logado, não porque a CVE em si concede acesso a disco, memória ou sistema.

A descoberta e a análise técnica detalhada (mecanismo exato de manipulação do .url e evasão de MOTW) foram publicadas por pesquisadores externos (Zero Day Initiative/Trend Micro), não pelo advisory da Microsoft, que se limita à descrição genérica 'Security Feature Bypass'. Isso é relevante: o texto oficial não expõe o mecanismo, e qualquer detalhe granular de payload/campo específico do .url deve ser tratado como proveniente de pesquisa de terceiros, não de confirmação do fornecedor.

Vetor: entrega remota de um arquivo malicioso — anexo de e-mail, link de download, ou hospedagem em serviço de compartilhamento de arquivos/CDN. O CVSS marca AV:N (rede), PR:N (sem autenticação) e UI:R (interação do usuário obrigatória): a vítima precisa abrir/executar o arquivo de atalho. Não há pré-condição de configuração não padrão conhecida — o alvo é o comportamento padrão do SmartScreen em builds não corrigidas do Windows 10 e 11 listados.

Na prática documentada por pesquisadores, o vetor observado em campanhas foi a distribuição de arquivos .url apontando para binários hospedados externamente, usados para entregar o Phemedrone Stealer sem acionar o prompt de segurança do SmartScreen — ou seja, a vítima clica no que parece um atalho/documento e o malware executa sem o aviso que normalmente apareceria para arquivos baixados de origem desconhecida.

A CISA confirma exploração ativa em campanha (KEV, adicionada no mesmo dia da correção — 2023-11-14 — sinal de zero-day explorado antes do patch). O CVSS temporal E:F (exploit funcional existente) e a existência de PoC pública reduzem a barreira de reprodução para qualquer atacante, mesmo sem ser o grupo original que a usou.

Aplicar a atualização de segurança de novembro de 2023 (Patch Tuesday, 2023-11-14) correspondente à build específica de cada versão listada (Windows 10 1507, 1607, 1809, 21H2, 22H2; Windows 11 21H2, 22H2, 22H3). O advisory oficial da Microsoft no MSRC lista os KBs/builds exatos por versão — confira lá o número de build corrigido para o seu SKU, pois não há um único KB universal cobrindo todas as versões.

Se a atualização não puder ser aplicada imediatamente, controles compensatórios reais incluem: bloqueio de anexos/arquivos .url em gateways de e-mail e proxies web, políticas de Attack Surface Reduction (ASR) ou Windows Defender Application Control (WDAC) que restrinjam execução de binários não assinados/desconhecidos independentemente do veredito do SmartScreen, e monitoramento de EDR para cadeias de execução iniciadas por cliques em atalhos de internet. Esses controles têm custo operacional (falsos positivos em fluxos legítimos de distribuição de software via atalho, necessidade de allowlist).

O que não funciona: simplesmente confirmar que o SmartScreen está 'ativado' nas configurações do sistema — a vulnerabilidade é justamente o SmartScreen não disparar mesmo estando habilitado, então essa verificação não detecta nem mitiga o problema.

Procurar arquivos Internet Shortcut (.url) recebidos por e-mail ou download com campos de destino apontando para hosts externos incomuns, especialmente quando o processo subsequente executa um binário sem a alternate data stream Zone.Identifier (MOTW) correspondente a origem de internet — essa ausência é o sinal mais direto de bypass bem-sucedido. Nos logs de eventos do Windows, checar entradas do provedor Microsoft-Windows-SmartScreen/Windows Defender SmartScreen por ausência de bloqueio em execuções de arquivos baixados de zona de internet, correlacionando com criação de processo (Sysmon Event ID 1 / 4688) de binários com baixa prevalência ou reputação desconhecida.

Não existe assinatura de rede única e confiável para esta CVE isoladamente — o indicador mais forte reportado publicamente é a cadeia associada às campanhas de Phemedrone Stealer (arquivo .url → download/execução de payload → comportamento de stealer), e não um padrão de exploração genérico. Ambientes sem telemetria de MOTW/Zone.Identifier ou sem logging detalhado de SmartScreen terão pouca visibilidade retroativa sobre tentativas anteriores ao patch.