Um pesquisador de segurança conhecido como Chaotic Eclipse, também identificado como MSNightmare e Nightmare-Eclipse, publicou em um repositório público no último sábado (30 de agosto) um código de prova de conceito para uma vulnerabilidade de elevação de privilégios não corrigida no Avast Antivirus, denominada por ele “PrettyPrague”. O exploit, que não possui CVE ou correção disponível até o momento, abusa de uma falha no componente de sandbox do Avast para realizar a cópia do banco de dados SAM do Windows e obter um shell interativo com privilégios de NT AUTHORITY\SYSTEM em uma máquina totalmente atualizada com Windows 11 25H2, segundo o pesquisador.
O CISO Advisor recebeu da Gen, controladora do Avast antivírus, a seguinte declaração: ““A Gen foi recentemente informada sobre uma vulnerabilidade de segurança que afeta um subconjunto de produtos da Gen, incluindo o Avast Antivirus, que poderia permitir que um invasor elevasse seus privilégios no sistema. Iniciamos imediatamente nossos procedimentos de resposta de segurança e estamos trabalhando ativamente no desenvolvimento de um patch. Levamos todas as questões de segurança a sério e estamos comprometidos em abordar esse problema rapidamente”.
De acordo com o repositório do projeto, a falha pode afetar outros produtos da Gen, como AVG e Norton, embora o pesquisador afirme que, no momento, o PoC é compatível com “qualquer versão do Avast Antivirus”. A publicação do código gerou rápida disseminação: em cerca de 24 horas, o repositório já havia recebido 125 estrelas e 31 forks.
Funcionamento do ataque e recomendações
O PrettyPrague explora o fato de o Avast executar serviços com privilégios elevados que um usuário comum não pode acessar normalmente. O exploit transforma esse privilégio contra o próprio produto, permitindo que um invasor com acesso local não privilegiado alcance a base do SAM, onde o Windows armazena hashes de senhas, e obtenha uma shell com privilégios máximos no sistema, configurando uma elevação de privilégios local completa com o próprio antivírus como vetor de ataque. O pesquisador é conhecido por divulgar publicamente PoCs para vulnerabilidades, frequentemente após criticar a postura dos fornecedores em relação à divulgação responsável, e seus lançamentos anteriores visaram principalmente produtos da Microsoft.
O pesquisador acredita que outras soluções de segurança da Gen Digital, como AVG e Norton, possam compartilhar a mesma vulnerabilidade, mas isso ainda não foi confirmado.
