Exploit contra o Avast permite obter privilégios de SYSTEM
Uma vulnerabilidade de elevação de privilégios no Avast Antivirus pode permitir que um usuário local sem permissões administrativas alcance o nível máximo de autoridade do Windows. O problema, apelidado de PrettyPrague, foi divulgado junto com um código de prova de conceito, embora ainda não tivesse identificação CVE nem correção pública no momento da publicação.
A falha foi apresentada pelo pesquisador conhecido como Chaotic Eclipse, também identificado pelos nomes MSNightmare e Nightmare-Eclipse. O código foi disponibilizado em um repositório público no sábado, 30 de agosto, e demonstrou a exploração em uma instalação totalmente atualizada do Windows 11 25H2.
Segundo o pesquisador, o ataque se aproveita de uma fraqueza no componente de sandbox do Avast. Em determinadas condições, o mecanismo permite que um processo executado por um usuário comum abuse de serviços privilegiados do antivírus para copiar o banco de dados SAM do Windows e iniciar um shell interativo com permissões de NT AUTHORITYSYSTEM.
Esse nível de acesso é superior ao de um administrador convencional. Com privilégios SYSTEM, o invasor pode modificar configurações críticas, acessar arquivos protegidos, instalar programas, alterar mecanismos de segurança e manter persistência no computador. Na prática, trata-se de uma elevação de privilégios local completa.
Como o ataque funciona
O Windows armazena no arquivo SAM informações relacionadas às contas locais e aos hashes de suas senhas. Esse banco de dados é protegido pelo sistema operacional e, em condições normais, não pode ser copiado por usuários sem autorização elevada.
O PrettyPrague explora justamente a diferença entre as permissões concedidas ao usuário e os privilégios atribuídos aos serviços do Avast. Como o antivírus precisa operar em níveis elevados para monitorar processos, arquivos e atividades suspeitas, seus componentes têm acesso a áreas sensíveis do sistema.
A vulnerabilidade transforma essa relação de confiança em um vetor de ataque. Um invasor que já tenha conseguido executar código localmente, ainda que com uma conta limitada, pode induzir o produto a realizar operações que não deveriam estar disponíveis para aquele usuário. A partir daí, torna-se possível acessar o SAM e obter uma sessão com privilégios máximos.
O cenário não representa, necessariamente, uma invasão remota direta. O atacante ainda precisa obter alguma forma de execução local, por exemplo, por meio de malware, engenharia social, exploração de outra falha ou acesso físico. Entretanto, em ambientes corporativos, essa condição pode ser suficiente para transformar um comprometimento inicial em controle total da estação.
Possível impacto em outros produtos
De acordo com a descrição do projeto, a vulnerabilidade pode afetar outros produtos pertencentes à Gen Digital, empresa controladora do Avast. Entre os nomes mencionados estão AVG e Norton. Até aquele momento, porém, a existência do mesmo problema nesses produtos não havia sido confirmada.
O pesquisador afirmou que a prova de conceito era compatível com qualquer versão do Avast Antivirus. Essa abrangência aumenta a preocupação, especialmente em computadores que permanecem conectados a redes corporativas ou que armazenam credenciais, documentos e informações sensíveis.
A divulgação teve rápida repercussão. Em aproximadamente 24 horas, o repositório já havia recebido 125 estrelas e 31 cópias derivadas, sinal de que o código poderia ser analisado, adaptado e incorporado a novas ferramentas de ataque.
Posicionamento da Gen
A Gen informou que foi comunicada sobre uma vulnerabilidade de segurança que afeta um subconjunto de seus produtos, incluindo o Avast Antivirus. A empresa reconheceu que o problema poderia permitir a elevação de privilégios e declarou ter iniciado imediatamente os procedimentos internos de resposta.
A companhia também afirmou estar trabalhando no desenvolvimento de uma atualização corretiva e reforçou que trata os relatos de segurança como prioridade. Enquanto o patch não estiver disponível e instalado, os usuários permanecem expostos a uma possibilidade de abuso local do software de proteção.
O que os usuários devem fazer
A principal recomendação é manter o Avast atualizado e aplicar qualquer correção assim que ela for liberada. As equipes de tecnologia devem acompanhar os comunicados oficiais do fabricante e verificar se as versões instaladas receberam uma atualização específica para o PrettyPrague.
Também é importante limitar o uso de contas administrativas. Usuários comuns devem trabalhar com permissões restritas, pois isso reduz o impacto de muitos ataques iniciais, ainda que não elimine a vulnerabilidade.
Organizações devem reforçar o monitoramento de comportamentos anômalos, como processos inesperados acessando arquivos protegidos, tentativas de copiar o SAM, criação de novos usuários locais e abertura de shells com privilégios elevados. Eventos relacionados a serviços do antivírus também merecem atenção especial.
Enquanto não houver uma correção, pode ser necessário avaliar medidas temporárias de contenção em ambientes de maior risco. A desativação do antivírus, contudo, não deve ser feita de maneira indiscriminada, pois isso pode retirar uma camada importante de proteção. Qualquer alteração deve ser planejada, documentada e compensada por controles adicionais.
Importância da correção rápida
Falhas em softwares de segurança são particularmente delicadas porque esses programas operam com permissões elevadas e têm acesso a áreas críticas do sistema. Quando um componente desse tipo é comprometido, o atacante pode usar a própria ferramenta defensiva para contornar restrições do Windows.
O caso também mostra os riscos associados à divulgação pública de códigos de prova de conceito antes da existência de um patch. Embora a transparência ajude pesquisadores, administradores e fabricantes a compreenderem o problema, ela também reduz o tempo disponível para que os usuários se protejam.
O pesquisador Chaotic Eclipse é conhecido por publicar demonstrações de vulnerabilidades e por questionar práticas de divulgação adotadas por fornecedores. Seus trabalhos anteriores tiveram como alvo principalmente produtos da Microsoft, mas o PrettyPrague amplia a atenção para ferramentas de segurança de terceiros.
Até que a Gen conclua a investigação e publique uma atualização, empresas e usuários devem considerar o Avast um possível ponto de elevação de privilégios dentro do ambiente. A combinação de software atualizado, menor uso de privilégios administrativos, monitoramento de endpoints e resposta rápida a comportamentos suspeitos é a melhor estratégia para reduzir o risco.