Vulnerabilidade LNK do Microsoft Windows Explorada por Hackers

Redazione RHC:6 Dezembro 2025 19:27

Especialistas descobriram que, no verão de 2025, a Microsoft corrigiu uma vulnerabilidade perigosa no Windows que já existia Ativamente explorado por pelo menos 11 hacker grupos, incluindo APTs norte-coreanos e grupos grandes como Evil Corp.

Este é o CVE-2025-949, que permitiu aos atacantes ocultar comandos maliciosos dentro dos arquivos LNK e executar Malware Sem ser detectado em um dispositivo comprometido.

O raiz o problema está na forma como o Windows lida com os links LNK. Atacantes preencheu o campo Alvo no arquivo LNK com espaços para ocultar argumentos maliciosos na linha de comando .

As propriedades do arquivo mostram apenas os primeiros 260 caracteres do campo Alvo, enquanto o restante permanece oculto. Como resultado, O usuário vê um comando inofensivo, mas ao fazer duplo clique no atalho, o Atalho inicia o Malware .

Hacker grupos têm explorado ativamente esse truque. Analistas de Micro de Tendências descobriram Isso CVE-2025-9491 foi explorado por pelo menos 11 grupos, incluindo o norte-coreano APT37 , APT43 (também conhecido como Kimsuky), Mustang Panda, SideWinder, RedHotel e Konni, assim como cibercriminosos Evil Corp e Amargo .

” Os ataques usaram vários payloads e downloads: Ursnif, Gh0st RATO, Trickbot. MaaS (Malware-as-a-service) complicou ainda mais a situação “, observa a Trend Micro.

Como relatado recentemente pela Arctic Wolf e StrikeReady, os chineses hacker grupo Mustang Panda até explorou essa vulnerabilidade como um zero-day e o utilizou em ataques contra diplomatas europeus na Hungria, Bélgica e outros países da UE. Os atacantes então implantaram o malware PlugX RAT nos sistemas das vítimas.

Em março de 2025, analistas da Trend Micro informaram aos desenvolvedores da Microsoft que o CVE-2025-9491 A vulnerabilidade estava sendo ativamente explorada. No entanto, o fornecedor respondeu que Ele só “consideraria” corrigir o bug, enfatizando que A vulnerabilidade não atendia aos critérios para uma correção imediata.

Além disso, em novembro, representantes da Microsoft emitiram Um esclarecimento adicional afirmando que a questão não deve ser considerada uma vulnerabilidade, ” Dada a interação necessária do usuário e o fato de que o sistema alerta sobre o formato de arquivo não confiável .”

No entanto, como relatou Mitja Kolsek, chefe da Acros Security e cofundador da 0patch , Microsoft recentemente mudou silenciosamente o comportamento dos arquivos LNK. Kolsek diz que após as atualizações de junho (embora o patch pareça ter sido lançado gradualmente), os usuários veem todos os caracteres no campo Alvo ao abrir propriedades de arquivos LNK, não apenas os primeiros 260.

Kolsek observou que essa não é uma solução totalmente funcional. O problema é que argumentos maliciosos de arquivo LNK persistem, e os usuários ainda não recebem avisos ao abrir um link com uma string alvo excessivamente longa.

Enquanto aguardava a Microsoft lançar um patch completo, a Acros Security foi lançada uma solução não oficial via seu 0Patch plataforma. O micropatch limita todas as cadeias de alvo nos atalhos a 260 caracteres e alerta os usuários sobre o perigo potencial de abrir arquivos com cadeias excessivamente longas.

” Embora seja possível criar atalhos maliciosos com menos caracteres, acreditamos que parar ataques do mundo real que já foram descobertos pode beneficiar significativamente aqueles alvos de hackers “, diz Kolsek.

O patch não oficial está disponível para usuários 0patch com assinaturas PRO e Enterprise rodando versões do Windows do Windows 7 ao Windows 11 22H2, assim como do Windows Server 2008 R2 ao Windows Server 2022.