Zero-day no Steam permite escalar privilégios para SYSTEM no Windows
Uma vulnerabilidade zero-day no cliente Steam para Windows pode permitir que usuários locais sem privilégios administrativos obtenham acesso ao nível NT AUTHORITYSYSTEM, a conta com os maiores privilégios do sistema operacional. O problema, identificado no serviço steamservice.exe, não exige autenticação na plataforma, abertura de um jogo ou confirmação do Controle de Conta de Usuário (UAC).
A falha foi apresentada pelo pesquisador conhecido como KillaBoi sob o nome BrokenPipe. A prova de conceito, divulgada em 14 de setembro, demonstra como um processo executado por um usuário comum consegue induzir o serviço privilegiado da Steam a iniciar um programa escolhido pelo atacante.
Falha está relacionada à validação do caminho de instalação
O BrokenPipe não depende de corrupção de memória, adulteração de arquivos assinados ou falsificação de uma assinatura digital da Valve. O mecanismo explora uma lacuna na forma como o serviço verifica a origem e o destino de determinados componentes usados durante a instalação.
Segundo a análise técnica, o serviço aceita um diretório de instalação indicado pelo processo solicitante e utiliza um script VDF legítimo, assinado pela Valve. Embora o arquivo de instalação seja autêntico, o caminho associado ao inicializador não recebe o mesmo nível de proteção da assinatura.
Com isso, um usuário sem privilégios pode influenciar o local em que o serviço procura o executável. O fluxo confiável da instalação acaba encontrando um inicializador realocado, que é tratado como legítimo e executado com os privilégios do serviço. Em outras palavras, a assinatura da Valve não é quebrada: ela é aproveitada dentro de um processo que não valida adequadamente o caminho utilizado.
Prova de conceito abre um Prompt de Comando como SYSTEM
A exploração cria uma comunicação entre processos com o Serviço do Cliente Steam e chama funções internas usando o arquivo VDF genuíno, combinado a um diretório controlado pelo atacante.
Em seguida, o serviço executado como SYSTEM processa o manifesto e inicia o programa colocado nesse local. A prova de conceito foi desenvolvida em PowerShell, incorpora o conteúdo do VDF assinado em Base64 e utiliza um cliente de comunicação em memória compartilhada implementado em C#.
Na demonstração, o código copia o Prompt de Comando do Windows para o caminho do inicializador manipulado e solicita que o serviço da Steam o execute. O comando `whoami` retorna NT AUTHORITYSYSTEM. Já `whoami /user` apresenta o identificador S-1-5-18, associado à conta LocalSystem da Microsoft.
Esse nível de acesso permite modificar configurações protegidas, instalar serviços, alterar mecanismos de inicialização, acessar arquivos de outros usuários e desativar controles de segurança. Por isso, uma falha local desse tipo pode ter impacto significativo em estações corporativas.
Condições necessárias para a exploração
Os testes relatados foram realizados contra a versão 10.96.30.42 da Steam, em versões recentes de 64 bits do Windows 10 e do Windows 11.
A exploração depende de alguns requisitos:
– A Steam precisa estar instalada no computador.
– O serviço do cliente deve estar disponível.
– O invasor deve conseguir executar algum código localmente.
– O atacante não precisa possuir uma conta administrativa.
– Não é necessário iniciar um jogo ou autenticar-se na Steam.
O BrokenPipe não representa, isoladamente, uma invasão remota. Ainda assim, ele pode funcionar como uma segunda etapa extremamente eficaz. Um criminoso que obtenha acesso inicial por meio de phishing, malware, software vulnerável ou outra falha pode usar o problema para elevar privilégios e ampliar o controle sobre a máquina.
Valve teria sido informada anteriormente
KillaBoi afirma que a Valve tinha conhecimento do problema desde março de 2026. A alegação estaria relacionada a um relatório enviado ao HackerOne e posteriormente classificado como duplicado. Até o momento da divulgação, não havia resposta pública da empresa sobre o caso.
Também não havia, naquele momento, comunicado oficial da Valve, identificação CVE ou confirmação de uma atualização especificamente destinada a corrigir o BrokenPipe. Dessa forma, a classificação como zero-day permanece baseada na divulgação do pesquisador e na aparente ausência de uma correção confirmada pelo fornecedor.
Como as empresas devem reduzir o risco
Em ambientes corporativos, a primeira medida é identificar onde a Steam está instalada e avaliar se sua presença é realmente necessária. Computadores compartilhados, terminais administrativos e estações que processam informações sensíveis devem receber atenção prioritária.
Quando o aplicativo não for indispensável, a remoção do cliente e de seus serviços associados reduz a superfície de ataque. Também é recomendável impedir a instalação da Steam por usuários comuns e aplicar políticas de controle de aplicações capazes de bloquear softwares não autorizados.
As equipes de segurança devem monitorar a criação de processos filhos associados ao steamservice.exe. Um alerta deve ser gerado quando o serviço iniciar executáveis localizados em pastas graváveis por usuários, como diretórios temporários, áreas de perfil ou caminhos de download.
Outro indicador relevante é a execução de `cmd.exe`, PowerShell ou ferramentas administrativas com identidade SYSTEM logo após a atividade do serviço da Steam. A combinação desses eventos pode sinalizar uma tentativa de exploração, especialmente quando ocorre fora de uma rotina legítima de atualização.
Atualizações são importantes, mas não suficientes
Manter o Steam atualizado continua sendo uma prática essencial, mas os administradores não devem considerar que qualquer atualização resolve automaticamente o problema. A mitigação só deve ser presumida após a Valve confirmar que corrigiu a validação do diretório e o fluxo de execução associado ao serviço.
Além do aplicativo, as organizações devem aplicar atualizações do Windows, limitar privilégios locais e utilizar ferramentas de detecção e resposta em endpoints. A redução de permissões não impede diretamente a exploração, mas pode dificultar ações posteriores do invasor.
Também é importante revisar quais usuários possuem permissão de gravação em diretórios usados por instaladores e serviços. Pastas graváveis por qualquer usuário não devem ser utilizadas para executar componentes privilegiados sem validação rigorosa de integridade, origem e caminho.
Medidas recomendadas para administradores
Enquanto não houver posicionamento oficial, as empresas podem adotar uma abordagem preventiva:
1. Inventariar instalações da Steam em computadores Windows.
2. Remover o aplicativo de servidores e estações onde ele não seja necessário.
3. Restringir a execução de softwares não autorizados.
4. Monitorar atividades do `steamservice.exe`.
5. Criar alertas para processos executados como SYSTEM a partir de diretórios controlados por usuários.
6. Investigar o uso anormal de PowerShell, Prompt de Comando e ferramentas administrativas.
7. Manter sistemas operacionais e aplicações atualizados.
8. Revisar privilégios locais e permissões de gravação em pastas compartilhadas.
9. Preservar registros de eventos para facilitar a investigação.
10. Acompanhar comunicados oficiais da Valve antes de encerrar medidas temporárias.
O caso BrokenPipe reforça que assinaturas digitais, sozinhas, não garantem a segurança de um processo de instalação. A validação precisa considerar também o caminho do arquivo, o contexto de execução e a possibilidade de que um usuário controle partes do fluxo. Em sistemas corporativos, qualquer serviço de terceiros executado como SYSTEM deve ser tratado como componente crítico e monitorado de forma contínua.