CVE-2024-21412

Nome do Software Vulnerável e Versões Afetadas Microsoft Windows 10 Microsoft Windows 11 Microsoft Windows Server 2016 through 2022

Description Existe uma falha de bypass de recurso de segurança no processamento de arquivos de atalho da Internet (.URL). O problema decorre de uma falha no mecanismo de proteção onde o Windows não propaga corretamente os identificadores de zona Mark-of-the-Web (MotW)—um mecanismo usado para marcar arquivos baixados da internet como não confiáveis—ao analisar esses arquivos. Isso permite que invasores ignorem o Microsoft Defender SmartScreen e outros avisos de segurança, permitindo a entrega e execução silenciosa de malware. A exploração ocorre quando um usuário abre um arquivo .URL especialmente criado, que pode ser entregue via e-mail, SharePoint ou compartilhamentos de rede. Em alguns casos, os invasores usam uma técnica de atalho duplo, onde um arquivo disfarçado de .jpeg é, na verdade, um arquivo .url que aponta para outro atalho para acionar o bypass. Esta falha foi explorada ativamente em campanhas de ransomware e pelo grupo APT Water Hydra para entregar info-stealers e o malware DarkGate, frequentemente executando comandos via rundll32.exe ou ieframe.dll.

Recommendations Aplique as atualizações de segurança da Microsoft de fevereiro de 2024 (KB5034763, KB5034765, KB5034768, KB5034769 ou posteriores) para Windows 10, Windows 11 e Windows Server 2016 through 2022. Bloqueie anexos .URL nos gateways de e-mail. Desative a execução de atalhos de URL via Política de Grupo (Group Policy). Trate arquivos de atalho como arquivos de alto risco no Outlook.