Estamos cientes de duas PoCs publicadas durante essa semana em repositórios públicos no GitHub pelo pesquisador Chaotic Eclipse, já conhecido no meio por encontrar outras vulnerabilidades envolvendo os sistemas da Microsoft, situação que gerou forte atrito com a empresa, levando o banimento do pesquisador no GitHub e GitLab. Algumas das vulnerabilidades encontradas pelo pesquisador como a BlueHammer, RedSun e MiniPlasma já foram tratadas em outras publicações no Diário.

Contexto e Origem

A primeira vulnerabilidade divulgada esta semana é o RoguePlanet, um zero‑day no Microsoft Defender que explora uma race condition para obtenção de uma shell com privilégios SYSTEM em máquinas Windows. A PoC publicada no dia 09 de junho mostrou-se efetiva em sistemas Windows 10 e 11 atualizados, incluindo os patches de junho de 2026 instalados, conforme relatado por diversos pesquisadores.

A segunda vulnerabilidade disponibilizada esta semana pelo pesquisador foi o GreatXML, um novo bypass de BitLocker, que também envolve o Microsoft Defender, explorando a funcionalidade do Defender Offline Scan no ambiente de recuperação do Windows. O exploit permite o acesso à um prompt de comando com acesso irrestrito ao volume protegido pelo BitLocker, efetivamente contornando a proteção de criptografia. A PoC divulgada no dia 11 de junho consiste em um arquivo XML (unattend.xml) e uma pasta “Recovery” com outro XML, que precisam ser copiados para a partição de recuperação do computador.

Execução do RoguePlanet

Primeiro, o exploit cria um arquivo falso wermgr.exe contendo uma isca com a string EICAR, usada para forçar o Microsoft Defender a detectar o arquivo como malicioso e iniciar o processo de remediação. Para isso, ele monta um ISO somente leitura sem letra de unidade e aciona APIs internas do Defender, como MpScanStart e MpCleanStart, para disparar a varredura e a limpeza do arquivo.

Em seguida, o exploit monitora a criação de um novo dispositivo HardDiskVolumeShadowCopy e usa esse momento para sincronizar a condição de corrida. Quando detecta a shadow copy, ele abre um alternate data stream chamado WDFOO, solicita um oplock e passa a manipular caminhos e pontos de montagem NTFS para redirecionar a ação do Defender durante a remediação.

Com essa sequência, o Defender acaba sobrescrevendo o wermgr.exe legítimo em C:\Windows\System32 com uma cópia do próprio RoguePlanet. Depois disso, o exploit aciona manualmente uma tarefa agendada que tenta executar wermgr.exe, mas acaba executando o binário malicioso já colocado no lugar.

Na última etapa, essa nova instância do RoguePlanet, já executando como SYSTEM, conecta-se ao named pipe, identifica a sessão do usuário original e duplica o token privilegiado para abrir um shell interativo com privilégios SYSTEM naquela sessão.

Execução do GreatXML

Primeiro, o atacante prepara dois arquivos XML maliciosos: um unattend.xml e um ReAgent.xml, colocados dentro de uma pasta Recovery. Esses arquivos são então copiados para a raiz da partição de recuperação do equipamento alvo, que é a área usada pelo WinRE durante o boot de recuperação.

Depois, com acesso físico ao dispositivo, o atacante reinicia a máquina no modo de recuperação associado ao Microsoft Defender Offline Scan. Assim, na próxima vez em que o equipamento entrar nesse fluxo, o WinRE carrega uma imagem WinPE com suporte ao mecanismo de Setup do Windows, e durante essa passagem, é realizada uma procura automática por arquivos de resposta como unattend.xml e, ao encontrá-los, executa as instruções definidas no arquivo. Nesse ponto, o exploit injeta comandos por meio de RunSynchronousCommand, fazendo com que o WinPE execute um comando escolhido pelo atacante com privilégios de SYSTEM, que normalmente é um conhost.exe.

Nesse ponto, o volume do sistema já está desbloqueado pelo TPM, embora continue aparecendo como protegido pelo BitLocker no status lógico da ferramenta manage-bde. Assim, o shell obtido pelo atacante consegue navegar pelo disco, ler arquivos, copiar dados e acessar livremente o conteúdo protegido.

Versões Afetadas

Conforme foi evidenciado pelo pesquisador, o RoguePlanet foi testado com sucesso no Windows 10 e Windows 11 (canal oficial e versão Canary), incluindo os patches de junho de 2026. O pesquisador também chama atenção para o Windows Server, que apesar de que os usuários não possam montar imagens ISO, quebrando um dos passos da PoC,  as instalações de também seriam afetadas, dependendo apenas de uma adaptação no exploit por parte dos atacantes.

Já o GreatXML foi demonstrado publicamente em um sistema Windows 11 24H2 (build 10.0.26100.1) por pesquisadores da Core-Jmp, com relatos indicando que qualquer sistema Windows com BitLocker habilitado que tenha passado por Defender Offline Scan é potencialmente vulnerável, já que a exploração se apoia em um comportamento genérico do WinRE e não em um build específico. Entretanto, vale ressaltar que para a execução do GreatXML, é necessário acesso físico ao armazenamento da máquina-alvo.

Mitigações

Segundo o veículo de informações The Hacker News, após um contato para questionamentos, a Microsoft se pronunciou dizendo estar ciente da situação e trabalhando em correções. Entretanto, nenhum patch foi liberado. Enquanto isso, seguem algumas sugestões para mitigações.

RoguePlanet:

• Monitorar a movimentação incomum de arquivos em diretórios protegidos do Windows, especialmente quando seguida pela execução de wermgr.exe, para detectar a exploração antes da execução do payload;
• Não utilização de regras de confiança baseadas apenas em caminhos, dado que o exploit move conteúdo malicioso a locais confiáveis, utilizando verificação por métricas como a assinatura dos executáveis.

GreatXML:

• Utilização do BitLocker com TPM + PIN, para que o TPM não desbloqueie o volume sem a senha, impedindo o acesso ao volume desbloqueado durante o boot em WinRE/Offline Scan;
• Desabilitar ou remover WinRE em endpoints críticos até uma correção da oficial, evitando que o atacante aproveite o fluxo de recuperação com arquivos XML plantados.

Referências

[1] MSNightmare. RoguePlanet. Disponível em: https://github.com. Acesso em: 11 de junho de 2026.

[2] MSNightmare. GreatXML. Disponível em: https://github.com. Acesso em: 11 de junho de 2026.

[3] Core-Jmp. GreatXML: Bypassing BitLocker on Windows 11 via a Recovery-Partition unattend.xml. Disponível em: https://core-jmp.org. Acesso em: 11 de junho de 2026.

[4] The Hacker News. New GreatXML Exploit Bypasses Windows BitLocker via Recovery Partition XML Files. Disponível em: https://thehackernews.com. Acesso em: 11 de junho de 2026.

[5] The Hacker News. Microsoft Defender RoguePlanet Zero-Day Grants SYSTEM Access on Updated Windows. Disponível em: https://thehackernews.com. Acesso em: 11 de junho de 2026.

[6] Threat Locker Blog. Microsoft Defender zero-day RoguePlanet grants SYSTEM privileges. Disponível em: https://threatlocker.com/blog. Acesso em: 11 de junho de 2026.