---

📋 Visão Geral

MiniPlasma é um poderoso exploit de escalonamento de privilégio local que visa o CVE-2020-17103 no driver de filtro mini de arquivos da nuvem do Windows (cldflt.sys).

Permite que qualquer usuário padrão escale para privilégios NT AUTHORITY\SYSTEM em sistemas Windows 11, Windows Server 2022 e Windows Server 2025 totalmente corrigidos (a partir de junho de 2026).

---

🎯 Sistemas Afetados

Nota: Não funciona nas compilações mais recentes do Windows 11 Insider Canary.

---

🔍 Detalhes Técnicos

• CVE: CVE-2020-17103
• Componente: cldflt.sys (Driver de Filtro Mini de Arquivos da Nuvem)
• Função Vulnerável: HsmOsBlockPlaceholderAccess
• Tipo de Exploit: Condição de corrida + Manipulação de token
• Pesquisador: Chaotic Eclipse (Nightmare-Eclipse)

Como Funciona (Simplificado)

1. Dispara operações de hidratação de arquivos de espaço reservado (arquivos estilo OneDrive)
2. Manipula tokens de impersonação (válido ↔ anônimo)
3. Corrida com verificações de acesso do kernel
4. Alcança execução arbitrária de código como SYSTEM

---

⚠️ Impacto

• Escalonamento de Privilégio: Usuário → SYSTEM
• Nenhum direito de administrador necessário
• Funciona a partir do contexto de usuário padrão
• Ignora a maioria das suposições de EDR
• Extremamente perigoso em ambientes empresariais

---

🛠️ Mitigação e Recomendações

• Aplique a próxima atualização da Microsoft Patch Tuesday imediatamente
• Desabilite arquivos de espaço reservado do Cloud Files / OneDrive onde possível
• Use controle de aplicativo rigoroso (WDAC / AppLocker)
• Monitore atividades suspeitas de cldflt.sys
• Siga princípios de menor privilégio

---

📚 Referências

• Relatório Original do Project Zero (2020)
• Lançamento Público do PoC do MiniPlasma (Maio de 2026)
• Resposta de Segurança da Microsoft

---