Bug da era do Windows 95 pode vazar as credenciais da sua conta do Windows na web

Os hackers descobriram uma falha de décadas no Windows 8 e 10 que pode vazar o nome de usuário da sua conta da Microsoft e a senha com hash para qualquer site se você usar produtos da Microsoft como Edge ou Outlook para acessá-los.

A exploração faria com que os hackers incorporassem uma imagem em uma página da Web que carregasse de um compartilhamento de rede SMB. O produto da Microsoft tentaria carregar o recurso de compartilhamento de rede e enviaria as credenciais de login do Windows do usuário ativo, nome de usuário e senha para esse compartilhamento de rede. O nome de usuário é enviado em texto simples e a senha como um hash NTLMv2.

Isso apresenta dois riscos. Como sua conta da Microsoft agora é seu nome de usuário, na maioria dos casos, seu endereço de e-mail e, portanto, a identidade podem vazar para sites aleatórios. Hackers mais sofisticados também podem tentar quebrar sua senha, o que colocaria muito mais em risco.

As pesquisas sugerem 3 mitigações:

1. Não use software da Microsoft para se conectar a sites (por exemplo, Edge ou Outlook). No entanto, isso pode não evitar todos os problemas.
2. Use uma senha forte que não seja fácil de decifrar.
3. Use seu firewall para bloquear as portas SMB. Impondo a filtragem de saída nas portas 137/138/139/445 e descartando qualquer pacote IP que saia do host com um destino que corresponda a qualquer uma dessas portas e tenha um IP público como host de destino. Obviamente, isso seria mais útil para usuários domésticos do que para empresas.

Espero que em breve uma correção esteja a caminho para resolver esse problema sério.