Alguém executou código dentro da sala selada onde o Windows guarda a sua palavra-passe

O Windows 11 guarda alguns segredos naquilo que se assemelha a uma sala selada. Chama-se enclave VBS, uma fatia de memória isolada pelo processador de tal forma que nem software malicioso com direitos totais de administrador consegue ler o que lá está. Um desses enclaves contém a cópia com hash da sua palavra-passe do Windows que o Defender SmartScreen usa para a proteção antiphishing avançada, a funcionalidade que se manifesta se escrever essa palavra-passe numa página web ou a colar no Bloco de notas.

A 13 de outubro, Adrian Denkiewicz, da empresa de segurança Doyensec, publicou o relato completo de como pôs o seu próprio código a correr lá dentro. O componente chama-se SFAPE.dll, e a porta de entrada era quase irrisória: chamar duas vezes a rotina de inicialização permitiu-lhe escrever quatro bytes fixos num endereço à sua escolha. A partir desse único apoio construiu leituras de memória, depois escritas, quebrou a tabela de validação do próprio enclave e acabou a invocar funções arbitrárias dentro da área protegida. O enclave é carregado pelo lsass.exe, que corre como SYSTEM, por isso o prémio era real.

Agora a parte tranquilizadora. A falha, CVE-2026-83498, foi corrigida a 8 de setembro na KB5124008. A Microsoft alterou também a política de integridade de código para que o Windows recuse carregar cópias antigas e vulneráveis do ficheiro, fechando o truque óbvio de recuar de versão. Ninguém a viu usada num ataque real, e não é algo que lhe chegue a partir da internet. É preciso que haja código já em execução no seu PC para que alguma coisa disto se aplique.

E é esse o ponto. Investigação deste tipo só se torna perigosa em máquinas que deixaram de aceitar atualizações há meses. A pontuação de saúde do Tendvane assinala um PC que ficou para trás em silêncio, que costuma ser aquilo que ninguém repara até ao momento em que conta.