Zero-day no Avast transforma antivírus em caminho para privilégios SYSTEM no Windows
Um código de prova de conceito publicado por um pesquisador de segurança revelou uma vulnerabilidade de elevação local de privilégios no Avast Antivirus capaz, segundo os testes divulgados, de explorar o próprio ambiente privilegiado do software de segurança para acessar o banco de dados SAM do Windows e abrir um shell executado como NT AUTHORITY\SYSTEM.
A vulnerabilidade ganhou atenção depois da publicação do exploit PrettyPrague, desenvolvido pelo pesquisador conhecido como MSNightmare, também associado aos nomes Chaotic Eclipse e Nightmare-Eclipse. O caso é especialmente relevante porque atinge uma categoria de software que, para realizar suas funções de proteção, opera profundamente integrada ao sistema operacional e frequentemente com privilégios elevados.
A notícia foi repercutida pelo GBHackers em 3 de setembro. O veículo informa que o código explora uma falha no componente Avast Sandbox e que o pesquisador conseguiu executá-lo contra uma instalação atualizada do Avast em um computador também atualizado com Windows 11 25H2.
O caso, entretanto, exige uma distinção importante. Embora o pesquisador classifique o problema como zero-day e exista um PoC público, ainda não há, até o momento desta publicação, um identificador CVE público associado ao PrettyPrague nem documentação técnica pública da Gen Digital estabelecendo todas as versões e produtos afetados. A existência de uma vulnerabilidade está sendo investigada pelo fabricante, mas parte da extensão atribuída ao problema continua baseada nas alegações e testes publicados pelo pesquisador.
Gen Digital confirma investigação e trabalha em correção
Uma informação relevante surgiu após a publicação inicial do PrettyPrague.
Em declaração encaminhada ao CISO Advisor, a Gen Digital, empresa responsável pelo Avast, confirmou ter sido informada sobre uma vulnerabilidade de segurança envolvendo seus produtos.
Segundo a declaração publicada pelo veículo, a vulnerabilidade afeta um “subconjunto de produtos da Gen, incluindo o Avast Antivirus” e poderia permitir que um atacante elevasse seus privilégios no sistema. A empresa informou ainda que iniciou seus procedimentos de resposta e está trabalhando no desenvolvimento de um patch.
Essa manifestação altera significativamente o nível de confiança sobre o caso. Já não se trata apenas da publicação independente de um pesquisador alegando a existência de uma vulnerabilidade. O próprio fabricante reconheceu que recebeu informações sobre um problema de segurança com potencial de elevação de privilégios.
Ao mesmo tempo, a declaração não confirma publicamente todas as alegações presentes no repositório PrettyPrague.
Não está estabelecido, por exemplo, que todas as versões do Avast Antivirus sejam vulneráveis, como afirma o pesquisador. Também permanece sem confirmação pública a possibilidade de a mesma falha atingir produtos como AVG e Norton, embora ambos façam parte do portfólio da Gen Digital.
PrettyPrague explora o Avast Sandbox
No repositório público do projeto, o pesquisador descreve PrettyPrague como uma vulnerabilidade zero-day de elevação de privilégios (Elevation of Privilege — EoP) no Avast Antivirus.
Segundo o README publicado pelo autor, o PoC explora uma vulnerabilidade existente no Avast Sandbox para realizar duas ações particularmente sensíveis: obter uma cópia do banco de dados Security Account Manager (SAM) e iniciar um shell completo executado com privilégios SYSTEM.
O repositório contém, além da documentação, código-fonte em C/C++, arquivos de projeto e diretório de compilação x64, tornando a pesquisa sobre o comportamento da vulnerabilidade acessível a terceiros.
A afirmação de que o PoC seria compatível com “qualquer versão” do Avast deve, contudo, ser tratada como declaração do pesquisador, e não como uma matriz de produtos afetados validada pelo fabricante.
Esse cuidado é importante principalmente para ambientes corporativos, nos quais decisões como remoção emergencial de agentes de segurança, substituição de endpoint protection ou alterações generalizadas de configuração podem produzir novos riscos.
Por que conseguir privilégios SYSTEM é tão grave
Em sistemas Windows, NT AUTHORITY\SYSTEM possui privilégios extremamente elevados e é utilizado pelo próprio sistema operacional e por serviços críticos.
Um processo executado nesse contexto pode realizar operações inacessíveis a usuários comuns e, dependendo das demais proteções presentes no endpoint, acessar recursos protegidos, modificar configurações, executar processos privilegiados e interferir em mecanismos de segurança.
Por isso, vulnerabilidades de elevação local de privilégios normalmente aparecem em uma fase posterior do ataque.
O PrettyPrague, pelas informações disponíveis, não deve ser interpretado como uma vulnerabilidade de acesso remoto inicial ao computador.
O atacante precisa primeiro possuir alguma capacidade de execução local. Isso pode ocorrer, por exemplo, depois do comprometimento inicial provocado por phishing, malware, credenciais de acesso remoto roubadas, exploração de outra vulnerabilidade ou abuso de software legítimo.
A vulnerabilidade funcionaria então como um mecanismo de escalada.
Em termos simplificados, um invasor que entrou no computador pela “porta dos funcionários” poderia utilizar a vulnerabilidade para tentar obter a “chave mestra” do sistema.
É justamente essa transformação de um comprometimento limitado em controle altamente privilegiado que torna vulnerabilidades locais de elevação de privilégios relevantes para operações de ransomware, espionagem, roubo de credenciais e movimentação lateral.
O acesso ao SAM acrescenta outra dimensão ao risco
Outro aspecto preocupante do PrettyPrague é o acesso declarado ao Security Account Manager.
O SAM é um componente do Windows associado ao armazenamento de informações referentes às contas locais, incluindo material utilizado na autenticação. O acesso não autorizado aos dados necessários para recuperar hashes de credenciais pode permitir que atacantes realizem atividades posteriores de quebra de senhas ou reutilização de credenciais.
O GBHackers chama atenção justamente para essa combinação: acesso ao SAM e execução como SYSTEM.
Em um ambiente empresarial, as consequências podem ultrapassar o computador inicialmente comprometido.
Se credenciais locais forem reutilizadas entre máquinas — prática que deve ser evitada — a obtenção de hashes ou credenciais pode facilitar tentativas de movimentação lateral. A gravidade real dependerá da arquitetura de identidade, das políticas de credenciais, da segmentação, dos privilégios existentes e das demais medidas de segurança implantadas pela organização.
Por isso, a vulnerabilidade não deve ser analisada isoladamente. O risco está principalmente na possibilidade de ela funcionar como uma etapa de uma cadeia de ataque maior.
O paradoxo dos softwares de segurança privilegiados
O episódio também evidencia uma característica estrutural dos produtos de proteção de endpoint.
Antivírus, EDR (Endpoint Detection and Response) e outras ferramentas de segurança precisam observar processos, arquivos, memória, registro, drivers e diversas operações sensíveis do sistema operacional. Para executar essas funções, determinados componentes operam com privilégios elevados.
Essa arquitetura é necessária para que o produto consiga proteger o computador, mas também aumenta o impacto potencial de vulnerabilidades em componentes privilegiados.
Não é um problema exclusivo do Avast.
O princípio é semelhante ao observado em vulnerabilidades envolvendo drivers, agentes de gerenciamento, ferramentas de monitoramento e outros softwares executados com altos privilégios: quanto maior a autoridade de um componente, maior pode ser a consequência de uma falha que permita a um usuário menos privilegiado controlar ou abusar desse componente.
A própria Gen Digital já documentou anteriormente vulnerabilidades diferentes em seus mecanismos de antivírus. Em junho de 2026, por exemplo, registros publicados no NVD descreveram CVE-2025-7008, uma vulnerabilidade de leitura fora dos limites de um buffer durante a análise de arquivos PE malformados com metadados .NET, afetando produtos como Avast Antivirus, AVG Antivirus, Norton Antivirus, Avast One e Avast Business Antivirus em determinadas versões das definições de vírus.
Esse caso anterior não é a vulnerabilidade PrettyPrague e não deve ser confundido com ela. Serve apenas para demonstrar como mecanismos compartilhados entre produtos de segurança podem eventualmente ampliar o escopo de uma vulnerabilidade.
AVG e Norton também seriam vulneráveis?
O próprio autor do PrettyPrague afirma acreditar que a vulnerabilidade possa afetar outros produtos da Gen Digital, citando especificamente AVG e Norton.
Por enquanto, entretanto, essa possibilidade precisa ser tratada com cautela.
A Gen confirmou ao CISO Advisor que o problema envolve um subconjunto de seus produtos, incluindo o Avast Antivirus, mas a declaração publicada não especifica quais são os demais produtos desse conjunto.
Consequentemente, afirmar neste momento que AVG ou Norton são definitivamente vulneráveis ultrapassaria as evidências públicas disponíveis.
Organizações que utilizam diferentes produtos da Gen Digital, contudo, deveriam acompanhar os próximos comunicados do fabricante, especialmente porque componentes e mecanismos podem ser compartilhados entre diferentes soluções da mesma família.
Existe exploração ativa?
Até a publicação deste artigo, não foram encontradas evidências públicas confiáveis demonstrando exploração do PrettyPrague em ataques reais.
Essa diferença é fundamental.
A existência de código PoC público demonstra que existe material disponível para estudo e reprodução da técnica, mas não significa automaticamente que grupos criminosos estejam explorando a vulnerabilidade.
Ao mesmo tempo, a divulgação pública reduz a barreira necessária para que outros pesquisadores — e potencialmente atacantes — estudem o comportamento da falha.
O cenário, portanto, merece acompanhamento prioritário por equipes de SOC, Threat Intelligence, Vulnerability Management e Incident Response, principalmente em organizações que utilizam Avast em estações Windows.
O que as organizações devem fazer agora
Enquanto a Gen Digital finaliza a investigação e desenvolve uma correção, a resposta mais adequada não é simplesmente remover o antivírus de todos os computadores.
Uma retirada precipitada pode eliminar uma camada importante de proteção e criar uma exposição diferente.
A primeira medida deve ser identificar onde o Avast está instalado, quais versões estão em operação e quais sistemas são mais críticos. O inventário permite que a organização reaja rapidamente quando o fabricante publicar versões corrigidas, orientações de mitigação ou uma matriz definitiva de produtos afetados.
Também é recomendável reforçar temporariamente a monitoração de endpoints.
Equipes de segurança podem procurar comportamentos incomuns envolvendo processos associados ao Avast ou ao sandbox iniciando interpretadores de comandos ou outros processos privilegiados, especialmente quando executados como SYSTEM.
O GBHackers recomenda atenção a acessos inesperados às estruturas relacionadas a HKLM\SAM e HKLM\SYSTEM, além da criação incomum de arquivos associados ao dump de hives do Registro.
Esses eventos, isoladamente, não constituem prova de exploração. Ferramentas administrativas legítimas, produtos de backup e mecanismos do próprio sistema podem produzir atividades semelhantes. A análise deve considerar processo originador, usuário, cadeia de processos, horário, destino dos arquivos e contexto do endpoint.
Restringir privilégios administrativos locais, impedir execução arbitrária de binários por usuários não autorizados, aplicar políticas de controle de aplicações e manter telemetria adequada de endpoint também ajudam a reduzir as possibilidades de transformar uma vulnerabilidade de elevação local em comprometimento completo.
O caso reforça a importância da defesa em profundidade
O PrettyPrague oferece uma lição importante para arquiteturas corporativas: nenhum controle de segurança deve representar sozinho a fronteira de confiança de um endpoint.
Antivírus e EDR são componentes importantes, mas continuam sendo software. Eles possuem código, interfaces, serviços, drivers, mecanismos de atualização e componentes privilegiados que também podem apresentar vulnerabilidades.
A estratégia adequada continua sendo defesa em profundidade.
Isso inclui gerenciamento de vulnerabilidades, redução de privilégios, controle de aplicações, segmentação, gestão adequada de identidades, autenticação forte, monitoração, detecção comportamental e capacidade de resposta a incidentes.
O princípio também está alinhado à visão clássica de Segurança da Informação de proteção da confidencialidade, integridade e disponibilidade das informações. O glossário PCI disponibilizado como referência do projeto define vulnerabilidade como uma debilidade em procedimentos, projeto, implementação ou controles internos que pode ser explorada para violar as políticas de segurança de um sistema.
No caso do PrettyPrague, a particularidade é que a suposta debilidade está justamente dentro de um mecanismo criado para aumentar a segurança.
Para CISOs, a prioridade é acompanhar a correção — sem transformar incerteza em fato
A confirmação da Gen Digital torna o PrettyPrague um caso que merece acompanhamento imediato pelas organizações que utilizam Avast.
O fabricante reconheceu uma vulnerabilidade capaz de permitir elevação de privilégios e informou que trabalha em uma correção. O pesquisador, por sua vez, publicou um PoC que afirma conseguir extrair o SAM e obter um shell SYSTEM em um Windows 11 25H2 atualizado.
Ainda existem, entretanto, questões importantes sem resposta pública.
Não há CVE identificado para o PrettyPrague nas fontes consultadas, não foi publicada uma relação oficial completa das versões afetadas, os demais produtos vulneráveis não foram especificados publicamente pela Gen e não há evidência confiável, até o momento, de exploração ativa em ataques.
Essas lacunas não justificam ignorar o problema. Também não justificam transformar hipóteses em fatos.
Para organizações, o caminho adequado é inventariar, monitorar, reduzir oportunidades de execução local não autorizada e acompanhar prioritariamente as orientações da Gen Digital. Quando a atualização estiver disponível, sua implantação deverá entrar rapidamente no processo de gestão de vulnerabilidades, observando testes de compatibilidade e criticidade dos ativos.
O episódio mostra novamente uma realidade desconfortável da cibersegurança moderna: quanto mais privilegiado é um mecanismo de proteção, maior precisa ser a confiança depositada em sua própria segurança.
Referências
- GBHackers — Avast Antivirus Zero-Day PoC Lets Attackers Dump SAM Database and Gain SYSTEM Shell
- MSNightmare — PrettyPrague / GitHub
- CISO Advisor — Exploit contra o Avast obtém privilégios de system
- Security Affairs — Chaotic Eclipse Releases GenDigital Avast Antivirus ZeroDay PrettyPrague
- NIST/NVD — CVE-2025-7008
Clique e fale com representante oficial Sophos
Veja também:
- Infostealers roubam sessões do Claude e permitem sequestro de contas mesmo com MFA
- Principais ataques cibernéticos no Brasil em agosto de 2026: ransomware, invasões e vazamentos
- Orçamento de Cibersegurança no Brasil: como a IA está mudando os investimentos
- Privacidade deixou de ser apenas uma obrigação legal
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Aumento do “Shadow AI” no Brasil
- O excesso de alertas está tornando as empresas mais vulneráveis?
- Além do isolamento da chave privada
- Cibersegurança: de despesa a estratégia de crescimento
- IA a serviço do crime?
- Shadow AI: 3 medidas para reduzir o risco de cibersegurança
- O maior risco para os sistemas industriais não é a computação quântica, e sim esperar por ela
- Milhares de credenciais AWS vazadas continuam ativas
- Seu funcionário saiu do escritório. Seus dados foram junto?
- Falha CVSS 10 no Microsoft Entra ID permitia execução remota de código
- Ransomware em 2026: 79% dos ataques começam com identidades comprometidas
Be the first to comment