Um malware instalado em um computador Windows pode encontrar uma maneira de continuar acessando uma conta corporativa mesmo depois que a senha do usuário é alterada. A descoberta foi demonstrada pelo pesquisador de segurança Dirk-jan Mollema e envolve o uso indevido das chaves criptográficas associadas ao Windows Hello for Business (WHfB) para autenticação no Microsoft Entra ID.
O cenário chama atenção porque a técnica não depende de descobrir a senha da vítima, roubar seu PIN ou capturar dados biométricos. O malware precisa primeiro estar executando dentro de uma sessão Windows já autenticada, mas, a partir desse ponto, pode utilizar mecanismos legítimos do sistema para realizar novas autenticações.
O problema coloca em evidência um desafio crescente da segurança corporativa: mecanismos criados para eliminar senhas e dificultar ataques de phishing também precisam considerar o que acontece quando o próprio dispositivo já foi comprometido.
O que é o Windows Hello for Business
O Windows Hello for Business é uma tecnologia da Microsoft voltada à autenticação sem senha em ambientes corporativos.
Em vez de depender exclusivamente de uma senha tradicional, o sistema utiliza credenciais criptográficas associadas ao dispositivo e protegidas por mecanismos locais de autenticação. O usuário normalmente confirma sua identidade por meio de um PIN ou biometria.
A Microsoft destaca que o Windows Hello for Business oferece autenticação resistente a phishing e permite que organizações utilizem credenciais baseadas em chaves criptográficas para proteger identidades.
A arquitetura tem uma vantagem importante: mesmo que uma senha seja roubada, ela deixa de ser suficiente para determinados fluxos de autenticação.
O problema demonstrado pelo pesquisador acontece em outra camada.
Malware não precisa roubar a chave privada
A descoberta de Mollema é particularmente relevante porque o ataque não exige que o criminoso extraia diretamente a chave privada protegida pelo Windows Hello.
Em uma máquina que já possui uma sessão autenticada, um malware com acesso suficiente ao ambiente pode utilizar interfaces criptográficas legítimas do Windows para solicitar operações com a chave associada ao usuário.
Em outras palavras, a chave continua protegida.
O problema é que o sistema pode ser induzido a utilizá-la em nome do usuário legítimo.
É uma diferença importante. O atacante não precisa necessariamente quebrar a proteção criptográfica para obter vantagem. Ele pode abusar da capacidade legítima do computador de realizar operações de autenticação.
A técnica pode manter acesso mesmo após troca de senha
Em condições específicas, o acesso obtido pelo invasor pode persistir mesmo depois de uma alteração da senha da conta.
Isso acontece porque a autenticação baseada no Windows Hello for Business não depende exclusivamente da senha do usuário.
Segundo a demonstração, o atacante pode utilizar a chave do Windows Hello para realizar autenticações perante o Microsoft Entra ID e obter credenciais de sessão que permitem continuar acessando recursos associados à identidade comprometida.
Isso cria uma situação especialmente problemática para equipes de segurança.
Trocar a senha de uma conta comprometida é uma das medidas mais comuns durante a resposta a incidentes. Entretanto, se o invasor também conseguiu abusar de uma credencial baseada em dispositivo, apenas redefinir a senha pode não ser suficiente para eliminar o acesso.
Também é possível utilizar o Windows Hello como passkey
A pesquisa revelou ainda outra possibilidade.
A chave do Windows Hello for Business pode ser utilizada em fluxos compatíveis com WebAuthn, padrão empregado por passkeys e outros mecanismos modernos de autenticação.
Com isso, o pesquisador demonstrou que uma chave existente no dispositivo comprometido poderia ser utilizada para produzir uma asserção WebAuthn válida e autenticar o usuário perante o Microsoft Entra ID.
O detalhe é importante porque passkeys foram projetadas justamente para dificultar ataques tradicionais de phishing.
Nesse caso, entretanto, o atacante não precisa convencer a vítima a digitar uma senha em um site falso. Ele já está dentro de uma sessão legítima e tenta aproveitar a credencial criptográfica disponível naquele ambiente.
O ataque começa depois da invasão
A técnica não significa que qualquer pessoa na internet possa simplesmente entrar em uma conta protegida pelo Windows Hello.
Existe uma condição inicial importante: o malware precisa primeiro chegar ao computador da vítima e executar código dentro de uma sessão Windows autenticada.
Isso pode acontecer por diferentes caminhos, como phishing, software malicioso, arquivos comprometidos ou outras formas de infecção.
Essa distinção é fundamental para entender o risco.
O Windows Hello continua oferecendo proteção contra diversas formas tradicionais de roubo de credenciais. O problema demonstrado pelo pesquisador está relacionado ao que acontece quando a camada anterior de segurança — o próprio endpoint — já foi comprometida.
Por que a descoberta preocupa empresas?
O Microsoft Entra ID funciona como uma camada central de identidade para diversos ambientes corporativos.
A plataforma pode controlar acesso a aplicativos, serviços em nuvem, recursos corporativos e outros sistemas. A própria Microsoft recomenda políticas como autenticação multifator, acesso condicional, proteção de identidade e gerenciamento de privilégios para reduzir riscos relacionados às identidades.
Por isso, o comprometimento de uma estação de trabalho utilizada por um funcionário pode ter consequências que ultrapassam aquele computador.
Se a conta afetada possuir privilégios elevados, acesso a informações sensíveis ou autorização para utilizar serviços importantes, um invasor pode tentar transformar o acesso inicial em uma intrusão mais ampla.
O risco é ainda maior para administradores de sistemas e profissionais que possuem acesso privilegiado a ambientes corporativos.
Trocar a senha pode não resolver tudo
A descoberta também reforça uma regra importante para equipes de resposta a incidentes: redefinir a senha não deve ser automaticamente considerado o fim do incidente.
Quando existe suspeita de comprometimento de uma máquina que utiliza Windows Hello for Business, os administradores precisam avaliar as credenciais vinculadas ao dispositivo, sessões ativas, tokens e mecanismos de autenticação associados à identidade.
A investigação deve buscar determinar se o atacante conseguiu utilizar a credencial do Windows Hello e quais recursos foram acessados durante o período de comprometimento.
Dependendo do cenário, pode ser necessário revogar sessões, credenciais ou registros de autenticação além de simplesmente alterar a senha.
Passkeys continuam sendo importantes
A descoberta não significa que organizações devam abandonar o Windows Hello ou passkeys.
A autenticação sem senha continua oferecendo vantagens importantes em comparação com credenciais tradicionais. A própria Microsoft aponta que senhas são suscetíveis a phishing, roubo e reutilização, enquanto métodos resistentes a phishing ajudam a reduzir esses riscos.
O problema está em interpretar uma credencial resistente a phishing como uma proteção absoluta.
Nenhum mecanismo de autenticação consegue compensar completamente um endpoint comprometido.
Se o invasor já controla uma sessão legítima, a estratégia de ataque muda. Em vez de tentar descobrir a senha, ele procura utilizar os mecanismos de confiança que o computador já possui.
O que as empresas podem fazer
Organizações que utilizam Windows Hello for Business devem tratar a proteção do endpoint como parte essencial da estratégia de identidade.
Entre as medidas recomendadas estão:
- manter Windows e ferramentas de segurança atualizados;
- utilizar proteção avançada de endpoint;
- aplicar o princípio do menor privilégio;
- monitorar autenticações incomuns no Microsoft Entra ID;
- utilizar políticas de Acesso Condicional;
- limitar privilégios administrativos;
- investigar endpoints que apresentem comportamento suspeito;
- revogar sessões e credenciais quando houver suspeita de comprometimento;
- manter registros detalhados das autenticações e atividades das contas.
Também é importante separar contas administrativas de contas utilizadas para atividades comuns. Dessa forma, o comprometimento de uma estação de trabalho tende a causar menos impacto.
O novo desafio da autenticação sem senha
A pesquisa de Dirk-jan Mollema evidencia uma mudança importante na segurança de identidades.
Durante anos, grande parte da defesa esteve concentrada em impedir o roubo de senhas. Com a adoção de passkeys e autenticação baseada em chaves, os ataques começam a se deslocar para outras partes da cadeia.
O objetivo deixa de ser necessariamente descobrir o segredo criptográfico e passa a ser usar o dispositivo ou a sessão legítima que possui autorização para realizar a autenticação.
Isso não invalida o Windows Hello for Business. Pelo contrário: mostra que a proteção de identidade precisa ser acompanhada por segurança de endpoint, monitoramento contínuo e capacidade de revogar rapidamente credenciais e sessões comprometidas.
Para empresas que utilizam Microsoft Entra ID, a principal lição é direta: uma autenticação resistente a phishing é apenas uma parte da defesa. Se o dispositivo que abriga essa credencial for comprometido, o invasor pode tentar transformar a própria confiança do sistema em uma ferramenta de persistência.
