Ntlm

A Microsoft revelou um plano em três fases para descontinuar o uso do New Technology LAN Manager (NTLM), uma tecnologia de autenticação considerada obsoleta e vulnerável a ataques cibernéticos. O NTLM foi oficialmente descontinuado em junho de 2024 e não recebe mais atualizações, devido a sua suscetibilidade a ataques como replay e man-in-the-middle, conforme explicado por Mariam Gewida, Gerente de Programa Técnico II da Microsoft. Apesar de sua descontinuação, o NTLM ainda é amplamente utilizado em ambientes corporativos, muitas vezes devido a dependências legadas e limitações de rede, o que expõe as organizações a riscos de segurança. Para mitigar esses problemas, a Microsoft implementou uma estratégia que inclui auditorias aprimoradas do NTLM, a introdução de recursos como IAKerb e um Centro de Distribuição de Chaves local, e, finalmente, a desativação do NTLM por padrão nas próximas versões do Windows Server. Essa transição é vista como um passo importante em direção a um futuro sem senhas e mais resistente a phishing, exigindo que as organizações realizem auditorias e migrações para o Kerberos. A mudança visa garantir que o Windows opere em um estado seguro por padrão, priorizando alternativas de autenticação mais modernas e seguras.

A Microsoft anunciou que desabilitará o protocolo de autenticação NTLM, com 30 anos de existência, por padrão nas próximas versões do Windows, devido a vulnerabilidades de segurança que expõem as organizações a ciberataques. O NTLM, introduzido em 1993, é um protocolo de autenticação que foi amplamente explorado em ataques de relé NTLM e ataques pass-the-hash, permitindo que cibercriminosos escalem privilégios e acessem dados sensíveis. A transição para a desativação do NTLM ocorrerá em três fases: a primeira permitirá que administradores identifiquem o uso do NTLM, a segunda introduzirá novas funcionalidades para evitar a queda para o NTLM, e a terceira desabilitará o NTLM por padrão, embora o protocolo ainda possa ser reativado se necessário. A mudança é parte de um movimento mais amplo em direção a métodos de autenticação sem senha e resistentes a phishing, com a Microsoft incentivando desenvolvedores a migrar para alternativas mais seguras, como o Kerberos. Essa decisão é crucial para aumentar a segurança das redes corporativas e reduzir a exposição a ataques cibernéticos.

A SmarterTools anunciou a correção de duas vulnerabilidades críticas em seu software de e-mail SmarterMail, incluindo uma falha de execução remota de código, identificada como CVE-2026-24423, que possui uma pontuação CVSS de 9.3. Essa vulnerabilidade permite que um atacante direcione o SmarterMail para um servidor HTTP malicioso, executando comandos do sistema operacional sem autenticação. A falha foi descoberta por pesquisadores de várias organizações e corrigida na versão Build 9511, lançada em 15 de janeiro de 2026. Além disso, a mesma versão também aborda outra vulnerabilidade crítica (CVE-2026-23760) que já estava sendo explorada ativamente. Outra falha de severidade média (CVE-2026-25067) foi corrigida na versão Build 9518, lançada em 22 de janeiro de 2026, que poderia facilitar ataques de retransmissão NTLM e autenticação não autorizada. Dada a gravidade das vulnerabilidades e a exploração ativa, é crucial que os usuários atualizem para a versão mais recente o mais rápido possível.

Pesquisadores de segurança identificaram um aumento nos ataques de coerção de autenticação que exploram os mecanismos de Chamada de Procedimento Remoto (RPC) do Windows. Esses ataques manipulam o comportamento de autenticação de rede embutido no sistema, permitindo que máquinas enviem credenciais para servidores controlados por atacantes, sem a necessidade de interação do usuário ou privilégios administrativos. Ao abusar de funções RPC menos conhecidas, como MS-DFSNM e MS-EVEN, os atacantes conseguem fazer com que ativos valiosos, como Controladores de Domínio e Servidores de Certificado, se autentiquem em servidores maliciosos. Uma vez autenticados, os atacantes capturam hashes NTLM e realizam ataques de retransmissão para se mover lateralmente na rede. Para se defender contra esses ataques, recomenda-se monitorar rigorosamente o tráfego RPC e implementar técnicas de prevenção, como a assinatura SMB e a proteção estendida para autenticação. A evolução desses ataques representa uma nova ameaça que exige visibilidade aprimorada sobre o comportamento do RPC para evitar a extração de credenciais.

A Microsoft implementou uma mudança significativa em suas versões do Windows 10 e 11, desabilitando a função de pré-visualização de arquivos baixados da internet. Essa decisão visa proteger os usuários de um vetor de ataque que permite o roubo de credenciais sem a necessidade de abrir um arquivo malicioso. A vulnerabilidade estava relacionada ao ‘Mark of the Web’ (MotW), que identifica arquivos baixados da internet. Ao tentar gerar uma prévia, o Windows se conectava automaticamente a servidores maliciosos, enviando hashes NTLM do usuário, que podem ser usados para autenticação em outros serviços da rede. Embora a pré-visualização possa ser reativada, a Microsoft alerta que essa ação deve ser feita com cautela, pois transfere a responsabilidade de segurança para o usuário. Essa mudança é especialmente relevante para ambientes corporativos, onde a segurança das credenciais é crucial. A nova configuração reflete uma prioridade pela segurança em detrimento da conveniência, destacando a necessidade de conscientização sobre os riscos associados a arquivos baixados.

A Microsoft implementou uma atualização de segurança no Windows File Explorer a partir de 14 de outubro de 2025, que desativa automaticamente o painel de pré-visualização para arquivos baixados. Essa medida visa mitigar uma vulnerabilidade que poderia expor hashes NTLM, credenciais sensíveis usadas na autenticação em redes. O vetor de ataque envolve a pré-visualização de arquivos maliciosos que incorporam elementos HTML, permitindo que solicitações de rede não autorizadas sejam disparadas em segundo plano. Com a nova atualização, arquivos de fontes não confiáveis são marcados com o atributo ‘Mark of the Web’, impedindo a pré-visualização e exibindo um aviso ao usuário. Embora a maioria dos usuários não sinta um impacto significativo, a proteção é ativada automaticamente, priorizando a segurança sem comprometer a usabilidade. Para arquivos confiáveis, os usuários podem facilmente reverter a proteção. Essa mudança é especialmente benéfica para ambientes corporativos, onde a segurança é crucial, reduzindo a superfície de ataque e promovendo hábitos de segurança mais seguros. A atualização é um passo importante na luta contra o roubo de credenciais, mantendo os sistemas Windows mais resilientes frente a ameaças cibernéticas.