Exploit Certighost: Ameaça ao Controle de Domínio no Active Directory
Você já imaginou um invasor conseguindo se passar pelo servidor mais importante da sua empresa, aquele que controla todo o acesso à rede, sem precisar de senhas de administrador? Pois é exatamente isso que o exploit Certighost torna possível. Descoberto pelos pesquisadores H0j3n e Aniq Fakhrul e divulgado em 24 de julho de 2026, esse ataque explora uma falha crítica no Active Directory Certificate Services (AD CS), permitindo que um usuário comum obtenha um certificado digital de um Domain Controller e se autentique como se fosse a própria máquina. Neste artigo, vou traduzir essa ameaça para uma linguagem simples, mostrar como ela funciona e, principalmente, dar dicas práticas para você proteger seu ambiente corporativo – e até sua vida digital pessoal.
A falha, registrada como CVE-2026-54121 e com pontuação CVSS de 8.8 (alta severidade), foi corrigida pela Microsoft em 14 de julho, mas a divulgação pública do exploit acende um alerta: redes que ainda não aplicaram a atualização estão vulneráveis. E o pior: o ataque não exige interação do usuário, apenas acesso à rede e uma conta de domínio simples, daquelas que qualquer funcionário tem. Vamos entender isso melhor e, ao longo do caminho, conectar com um golpe que afeta milhões de pessoas todos os dias: o golpe do falso suporte técnico.
O que é o exploit Certighost e por que ele é tão perigoso?
O nome Certighost vem da ideia de “hospedar” (host) um certificado falso. Em resumo, o ataque engana uma Autoridade Certificadora (CA) interna da empresa para que ela emita um certificado digital vinculado a um Domain Controller – o servidor que gerencia todos os logins, políticas e segredos da rede. Com esse certificado em mãos, o invasor pode solicitar credenciais Kerberos e, a partir daí, executar um ataque chamado DCSync, que extrai o hash da conta krbtgt – a chave mestra do domínio. Com isso, ele pode criar tickets de acesso forjados (Golden Tickets) e controlar toda a rede indefinidamente.
Mas como um usuário sem privilégios consegue isso? O segredo está num mecanismo de “fallback” do AD CS chamado chase. Quando a CA não consegue obter informações sobre uma entidade diretamente, ela pode consultar um controlador de domínio indicado pelo solicitante. O problema é que, antes da correção, a CA não verificava se esse controlador era legítimo. O invasor então monta serviços falsos de SMB e LDAP, redireciona a autenticação da CA para o Domain Controller real via Netlogon e convence a CA a assinar um certificado com a identidade do alvo. É como se você ligasse para um banco, pedisse um cartão de crédito em nome de outra pessoa e o banco emitisse o cartão sem checar seus documentos.
Para piorar, o exploit é totalmente automatizado. O código público, testado em ambientes Windows Server 2016 ou superiores, cria uma conta de computador (aproveitando a cota padrão de 10 máquinas que qualquer usuário pode adicionar) ou reutiliza uma já controlada. Depois, inicia listeners nas portas 445 e 389, faz o relé da autenticação e gera um arquivo PFX com o certificado e o cache de credenciais Kerberos. Em minutos, o invasor se torna o “dono” do domínio.
Quem está vulnerável?
De acordo com o boletim da Microsoft, as versões afetadas incluem desde o Windows Server 2012 até o Windows Server 2025, incluindo edições Server Core, além de algumas versões do Windows 10 (1607 e 1809). Ou seja, se sua empresa roda um Enterprise CA com o template de certificado “Machine” padrão habilitado e a cota de criação de contas de máquina não foi reduzida, você está no alvo. A boa notícia é que, até 24 de julho, não havia relatos de exploração ativa em larga escala, mas a disponibilidade pública do código de prova de conceito torna a correção urgente.
Como proteger sua empresa do Certighost (e de ataques similares)
Agora que você entendeu o risco, vamos ao que interessa: ações práticas para blindar seu ambiente. Separei um passo a passo que qualquer equipe de TI pode seguir, mesmo sem ser especialista em segurança ofensiva.
- Aplique a atualização de julho de 2026 da Microsoft imediatamente. A correção adiciona uma validação no arquivo certpdef.dll que impede o uso de IPs literais, nomes muito longos e caracteres especiais no campo cdc, além de exigir que o objeto de máquina no AD tenha o atributo userAccountControl com a flag SERVERTRUSTACCOUNT (8192). Isso fecha a brecha do chase.
- Se não puder corrigir agora, desabilite o chase emergencialmente. Execute os comandos abaixo em um prompt elevado no servidor da CA e reinicie o serviço:
certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDCRestart-Service CertSvc -Force
Atenção: isso pode quebrar fluxos legítimos de inscrição de certificados. Teste em ambiente de homologação antes e trate como paliativo. - Reduza a cota de criação de contas de máquina. Por padrão, qualquer usuário autenticado pode criar até 10 contas de computador no domínio (atributo ms-DS-MachineAccountQuota). Altere esse valor para 0 ou um número bem restrito, usando o ADSI Edit ou PowerShell. Isso dificulta a vida do invasor, que precisa de uma conta de máquina controlada para o relé.
- Monitore eventos de inscrição de certificados. Habilite auditoria no AD CS e fique de olho em solicitações suspeitas, especialmente as que usam o template “Machine” e partem de contas de usuário comuns. Ferramentas como o Kzarka podem ajudar a cruzar esses logs com vazamentos de credenciais, indicando se alguma conta já foi comprometida.
- Restrinja o uso de templates de certificado. Remova permissões de inscrição desnecessárias e evite o uso do template padrão “Machine” para entidades que não sejam controladores de domínio legítimos.
- Implemente segmentação de rede. Isole a CA e os Domain Controllers em sub-redes protegidas, com firewalls internos que limitem o tráfego SMB e LDAP apenas a origens confiáveis.
Lembre-se: o Certighost é só um exemplo de como falhas em infraestruturas críticas podem ser exploradas de forma criativa. Manter sistemas atualizados e adotar uma postura de monitoramento contínuo são as melhores defesas.
A conexão com o golpe do falso suporte técnico
Você pode estar se perguntando: “O que um ataque supertécnico a servidores tem a ver com aquelas ligações chatas de falso suporte?”. A resposta está na engenharia social e na confiança cega em identidades. No Certighost, o invasor se passa por um Domain Controller porque a CA confiou em informações não verificadas. No golpe do falso suporte, o criminoso se passa por um técnico de uma empresa confiável (Microsoft, operadora de internet, banco) e convence a vítima a entregar acesso ao computador ou dados pessoais.
Em ambos os casos, o elo mais fraco é a verificação de identidade. Veja como se proteger desse golpe cotidiano, aplicando o mesmo raciocínio crítico que usamos para defender servidores:
- Desconfie de contatos não solicitados. Nenhuma empresa séria liga para você oferecendo “consertar um vírus” que ela detectou remotamente. Se receber uma ligação assim, desligue imediatamente.
- Nunca permita acesso remoto ao seu computador. Golpistas costumam pedir que você instale programas como TeamViewer ou AnyDesk. Isso dá a eles controle total sobre seus arquivos, senhas e até sua câmera.
- Verifique canais oficiais. Se tiver dúvida, entre em contato com a empresa por meio de um número de telefone ou site que você mesmo buscou, não o que o suposto técnico forneceu.
- Eduque sua família e colegas. O golpe do falso suporte faz vítimas principalmente entre pessoas menos familiarizadas com tecnologia. Compartilhe estas dicas e mostre como identificar tentativas de fraude.
- Monitore seus dados. Muitas vezes, os golpistas já possuem informações suas (nome, e-mail, operadora) vazadas em algum incidente. Use serviços como o Kzarka para saber se seus dados estão circulando na dark web e redobre a atenção.
A lição aqui é clara: seja em um data center ou na sala da sua casa, nunca aceite uma identidade sem verificação. O Certighost explora a confiança automatizada entre sistemas; o golpe do falso suporte explora a confiança humana. Ambos são devastadores.
O que a correção da Microsoft nos ensina sobre segurança proativa
A atualização de julho de 2026 não apenas fecha a brecha técnica, mas também nos dá uma aula de como pensar em defesa. A Microsoft adicionou múltiplas camadas de validação: rejeita IPs (que não deveriam ser usados em nomes de DC), bloqueia nomes extensos ou com caracteres perigosos, e cruza o SID do objeto para evitar substituições. É o princípio da defesa em profundidade: mesmo que uma verificação falhe, outras barreiras permanecem.
Como educadora em segurança digital, eu sempre digo: não dependa de uma única linha de defesa. Assim como a Microsoft combinou várias checagens, você deve combinar atualizações, monitoramento, boas configurações e, acima de tudo, conscientização. Afinal, de nada adianta ter o firewall mais caro do mercado se alguém dentro da empresa entrega a senha por telefone.
Comparativo: Ataque a servidores vs. Golpe a pessoas
Para deixar ainda mais claro como os conceitos se interligam, preparei uma tabela comparativa entre o Certighost e o golpe do falso suporte técnico. Veja como as táticas são assustadoramente similares:
| Aspecto | Exploit Certighost (CVE-2026-54121) | Golpe do Falso Suporte Técnico |
|---|---|---|
| Alvo | Servidores Domain Controller em redes corporativas | Pessoas comuns, em casa ou no trabalho |
| Método de Engano | CA confia em controlador de domínio falso fornecido pelo atacante | Vítima confia em telefonema ou pop-up falso de “suporte” |
| Privilégio Inicial | Conta de usuário comum do domínio | Nenhum; basta atender a ligação ou clicar no link |
| Objetivo Final | Obter hash krbtgt para controlar todo o domínio | Instalar malware, roubar senhas ou extorquir dinheiro |
| Mitigação Principal | Aplicar patch de segurança e desabilitar chase | Educação digital e desconfiança de contatos não solicitados |
| Ferramenta de Apoio | Monitoramento de logs e vazamentos (ex.: Kzarka) | Verificação de vazamentos de dados pessoais (ex.: Kzarka) |
Percebeu o padrão? Em ambos os casos, o invasor se aproveita de uma falha na verificação de identidade para ganhar acesso indevido. Por isso, minha recomendação é dupla: mantenha seus sistemas atualizados e sua mente cética.
FAQ – Perguntas Frequentes sobre o Certighost e Golpes de Suporte
1. O que é o exploit Certighost e como ele funciona?
É um ataque que explora uma falha no Active Directory Certificate Services (CVE-2026-54121) para permitir que um usuário comum obtenha um certificado de um Domain Controller. O invasor engana a Autoridade Certificadora usando serviços SMB e LDAP falsos, fazendo-a assinar um certificado com a identidade do servidor alvo. Com isso, ele pode extrair segredos do domínio e assumir o controle total.
2. Minha empresa está em risco? Como posso saber?
Se sua rede possui um Enterprise CA com o template de certificado “Machine” habilitado e a cota de criação de contas de máquina não foi reduzida, você está vulnerável. Verifique também se a atualização de julho de 2026 da Microsoft foi aplicada nos servidores do AD CS. Em caso de dúvida, consulte sua equipe de TI imediatamente.
3. Não sou profissional de TI. Esse ataque me afeta diretamente?
Diretamente, não, pois ele mira infraestruturas corporativas. No entanto, se seus dados pessoais ou profissionais estão em sistemas comprometidos, você pode sofrer as consequências, como roubo de identidade ou vazamento de informações. Por isso, é importante monitorar se seus e-mails ou senhas aparecem em vazamentos – e a Kzarka pode ajudar nisso.
4. O que é o golpe do falso suporte técnico e como posso identificá-lo?
É um golpe em que criminosos ligam ou enviam mensagens se passando por técnicos de empresas conhecidas, alegando problemas no seu computador ou conta. Eles pedem acesso remoto ou pagamento por serviços falsos. Identifique: desconfie de contatos não solicitados, nunca instale software de acesso remoto a pedido de terceiros e sempre verifique a identidade da empresa por canais oficiais.
5. Já caí em um golpe de suporte. O que devo fazer agora?
Primeiro, desconecte o computador da internet e remova qualquer software de acesso remoto instalado. Troque todas as suas senhas, especialmente de e-mail e bancos, usando um dispositivo limpo. Avise seu banco e fique de olho em transações suspeitas. Depois, faça uma verificação completa com um antivírus e considere monitorar seus dados na Kzarka para ver se eles estão circulando na dark web.
6. Como a Kzarka pode me ajudar a me proteger dessas ameaças?
A Kzarka é uma plataforma de monitoramento de vazamentos de dados e proteção contra roubo de identidade digital. Ela verifica se suas informações pessoais (e-mails, senhas, documentos) foram expostas em vazamentos conhecidos, permitindo que você tome medidas antes que criminosos as usem em golpes como o falso suporte ou ataques corporativos. Acesse https://kzarka.com e faça uma verificação gratuita agora mesmo.
Espero que este artigo tenha iluminado não só os detalhes técnicos do Certighost, mas também a importância de mantermos uma postura vigilante em todas as frentes. A segurança digital é uma responsabilidade compartilhada: atualizações de software protegem sistemas, mas a educação protege pessoas. Se você quer saber se seus dados já foram expostos e como blindar sua identidade, visite a Kzarka e dê o primeiro passo para uma vida digital mais segura. Até a próxima!