A Kaspersky revelou uma falha no mecanismo de comunica\u00e7\u00e3o interna do Windows que permite elevar privil\u00e9gios at\u00e9 o n\u00edvel SYSTEM. Batizada PhantomRPC, a vulnerabilidade afeta potencialmente todas as vers\u00f5es do Windows e ainda n\u00e3o tem corre\u00e7\u00e3o prevista pela Microsoft.<\/p>\n
O problema ocorre no RPC, o mecanismo de Remote Procedure Call usado para pedir a execu\u00e7\u00e3o de fun\u00e7\u00f5es entre processos. Al\u00e9m disso, o recurso de impersonation permite que servi\u00e7os assumam temporariamente a identidade de outros processos.<\/p>\n
Segundo a Kaspersky, o Windows n\u00e3o verifica a legitimidade do servidor RPC com quem um processo se comunica. Um invasor pode criar um servidor RPC falso que se apresenta como um servi\u00e7o real, sem que o sistema operacional rejeite a conex\u00e3o.<\/p>\n
O ataque precisa comprometer um servi\u00e7o com privil\u00e9gio intermedi\u00e1rio, como Network Service ou Local Service. Esses servi\u00e7os t\u00eam a permiss\u00e3o SeImpersonatePrivilege, que autoriza impersonar outro processo.<\/p>\n
Com esse acesso, o atacante sobe um servidor RPC falso que imita um servi\u00e7o leg\u00edtimo e intercepta a comunica\u00e7\u00e3o de processos mais privilegiados.<\/p>\n
Antes de a falha ser divulgada, o pesquisador demonstrou cinco caminhos diferentes para elevar privil\u00e9gios via PhantomRPC.<\/p>\n
O primeiro envolve o servi\u00e7o Group Policy, que roda com privil\u00e9gio SYSTEM. Durante gpupdate \/force, a comunica\u00e7\u00e3o com o TermService \u00e9 interceptada pelo servidor falso e o ataque obt\u00e9m acesso SYSTEM.<\/p>\n
O segundo caminho ocorre sem intera\u00e7\u00e3o: o servi\u00e7o WDI faz chamadas ao TermService a cada 5 a 15 minutos. O invasor espera a pr\u00f3xima chamada para impersonar SYSTEM.<\/p>\n
Um terceiro caminho envolve o Microsoft Edge, que inicia com uma chamada RPC ao TermService. Se um administrador abrir o Edge, o servidor falso eleva privil\u00e9gios de Network Service para Administrator.<\/p>\n
Dois caminhos adicionais partem de uma conta Local Service: o DHCP Client pode ser explorado quando um administrador roda ipconfig, e o execut\u00e1vel w32tm.exe pode se conectar a um endpoint RPC inexistente, levando \u00e0 exposi\u00e7\u00e3o de um endpoint pelo servidor falso.<\/p>\n
A Microsoft classificou a vulnerabilidade como severidade moderada, em setembro de 2025, citando a necessidade da permiss\u00e3o SeImpersonatePrivilege. N\u00e3o existe CVE nem patch dispon\u00edveis, e a Kaspersky recomenda monitorar exce\u00e7\u00f5es de RPC, manter servi\u00e7os leg\u00edtimos ativos e restringir SeImpersonatePrivilege.<\/p>\n
A companhia divulgou a pesquisa ap\u00f3s o fim do embargo, informando que a explora\u00e7\u00e3o \u00e9 vi\u00e1vel em cen\u00e1rios reais com as condi\u00e7\u00f5es descritas. O alerta ressalta a import\u00e2ncia de controles de acesso e supervis\u00e3o em ambientes Windows.<\/p>\n
Acompanhe o TecMundo para mais informa\u00e7\u00f5es sobre seguran\u00e7a e tecnologia.<\/p>\n","protected":false},"excerpt":{"rendered":"