// TOM'S HARDWARE ITALIA — CYBERSECURITY
I malware possono sfruttare Windows Hello per non perdere l’accesso
Il ricercatore di Entra ID Dirk-jan Mollema ha dimostrato che un malware già in esecuzione nella sessione Windows di una vittima può usare silenziosamente la chiave di Windows Hello for Business per autenticarsi a Microsoft Entra ID. L'accesso iniziale all'endpoint può così trasformarsi in una presenza più duratura nel cloud, senza richiedere privilegi amministrativi sul computer compromesso.
Sui sistemi protetti da TPM, l'attaccante non deve estrarre la chiave privata, recuperare il PIN o attivare un controllo biometrico. Finché l'utente mantiene una sessione interattiva, il sistema di ticketing di Windows lascia disponibili le operazioni crittografiche: il codice eseguito con l'identità dell'utente può quindi chiedere al sistema operativo di firmare i dati necessari all'autenticazione. Il comportamento è stato descritto come una conseguenza dell'architettura di Windows Hello for Business, non come l'esportazione della credenziale hardware.
Una tecnica presentata alla DEF CON 32 nel 2024 permetteva già di produrre un'asserzione firmata per ottenere un token, ma richiedeva l'accesso a un dispositivo registrato o aggiunto a Entra. Il nuovo metodo elimina tale vincolo usando WebAuthn e trattando la chiave Hello come una passkey FIDO2. La challenge di Entra, valida per cinque minuti, non risulta legata a una specifica sessione, a un utente o a un tenant: può essere richiesta su un altro sistema e firmata dall'endpoint compromesso.
L'asserzione può essere impiegata per richiedere token o aprire una sessione browser con l'identità della vittima. Poiché il token ottenuto non contiene l'identificativo del dispositivo, l'attaccante può registrare un computer sotto il proprio controllo e richiedere un Primary Refresh Token, valido per 90 giorni e rinnovato continuamente durante l'utilizzo attivo. La premessa resta l'esecuzione locale di codice nella sessione, uno scenario già osservato nelle campagne basate su falsi aggiornamenti di Windows 11 per diffondere malware.
Il login tramite WebAuthn può inoltre soddisfare le regole di Conditional Access che richiedono un'autenticazione resistente al phishing. La procedura viene considerata anche come un'autenticazione multifattore recente, consentendo in alcuni tenant di aggiungere altre passkey o chiavi Windows Hello for Business al dispositivo controllato dall'attaccante. Le politiche separate sullo stato e sulla conformità del dispositivo possono interrompere la catena, che quindi non funziona integralmente in ogni configurazione.
La divulgazione non documenta attacchi attivi né vittime e non specifica le build di Windows o tutti i modelli di distribuzione sottoposti a test. Al momento dell'analisi non risultavano CVE o bollettini Microsoft associati alla tecnica. Sono stati comunque pubblicati script PowerShell dimostrativi nel repository di ROADtools, il framework utilizzato per interagire con Entra ID e riprodurre i passaggi dell'autenticazione.
Per individuare attività sospette, gli amministratori possono cercare accessi Windows Hello for Business privi dell'identificativo del dispositivo e monitorare registrazioni inattese di dispositivi. Il primo segnale non è conclusivo, perché anche sessioni browser in incognito o senza Single Sign-On possono produrre lo stesso schema. La correlazione con nuovi metodi di autenticazione, token e dispositivi aggiunti riduce il rischio di confondere un attacco con un accesso legittimo.
Aggiungi Tom's Hardware alle tue fonti preferite su Google