Como corrigir o aviso “LSA package is not signed as expected” no Windows 11

Você acabou de ver o aviso “LSA package is not signed as expected” no seu Windows 11? Sem pânico: esse aviso faz parte do processo de proteção da Autoridade de Segurança Local (LSA) do Windows, usado para aplicar políticas de segurança, incluindo a autenticação de logon e o gerenciamento de credenciais.

Normalmente, o aviso aparece quando o Windows detecta que um ou mais plug-ins da LSA não estão assinados conforme os requisitos de segurança da Microsoft, mesmo com a proteção LSA ativada. Pense em um atraso na entrega: você comprou o produto on-line, mas o caminhão designado para o seu endereço não registrou a localização corretamente — na verdade, ele simplesmente desapareceu e reapareceu na frente da sua casa! Então, mesmo com o entregador parado na sua porta, o mais sensato é não aceitar o pacote, porque não dá para ter certeza de que é a pessoa certa ou de que está entregando o item correto.

A Microsoft recomenda ativar a proteção LSA para reduzir o risco de roubo de credenciais. Mesmo assim, se o aviso “LSA protection is on, but the LSA package is not signed as expected” continuar aparecendo, veja o que fazer:

Para uma explicação visual do tema, assista a Como corrigir o aviso “LSA package is not signed as expected” no Windows

Como resolver avisos persistentes de “LSA package not signed”

Antes de começar, confira alguns pré-requisitos técnicos:

• Atualizações do Windows: instale todas as atualizações pendentes para garantir que o sistema esteja em dia.
• Direitos administrativos: em um ambiente gerenciado, talvez seja preciso falar com o administrador de TI.
• Inicialização segura e VBS: a Inicialização Segura e a segurança baseada em virtualização (VBS) devem estar ativadas.
• Suporte a HVCI: o dispositivo precisa ser compatível com a Integridade de Código protegida por Hipervisor (HVCI).

Etapa 1: verifique o status da proteção LSA

Método A: pela interface gráfica

1. 1. Acesse Configurações > Privacidade e segurança > Segurança do Windows > Segurança do dispositivo
   2. Clique em Detalhes do isolamento do núcleo ou Processador de segurança (conforme a configuração do seu sistema).
   3. Verifique o status da proteção LSA na seção Proteção da Autoridade de Segurança Local. Pode aparecer uma de três mensagens:
      • ✅ A proteção LSA está ativada
      • ⚠️ A proteção LSA está ativada, mas o pacote LSA não está assinado como esperado
      • 🛑 A proteção LSA está desativada
   4. Reinicie o sistema para limpar mensagens temporárias.

💡 Às vezes a interface gráfica falha ou nem aparece. Nesse caso, o método acima pode não funcionar. Outras opções:

Método B: pelo log de eventos do Windows

1. 1. Abra o Visualizador de Eventos. Basta digitar “Visualizador de Eventos” na barra de pesquisa do Windows.
   2. Acesse Logs de Aplicativos e Serviços > Microsoft > Windows > CodeIntegrity > Operacional.
   3. Procure pelo Event ID 3089 ou 3065:
      • Event ID 3089: indica que a LSA não está sendo executada como processo protegido.
      • Event ID 3065: indica que a LSA está protegida, mas encontrou plug-ins não assinados.

Método C: com o msinfo32

1. 1. Pressione Win + R, digite msinfo32 e pressione Enter.
   2. Role a tela e confira os seguintes campos:
      • Segurança baseada em virtualização: deve constar “Em execução”. Caso contrário, há um erro.
      • Credential Guard: com a proteção LSA ativada, aparece “Em execução”.

Etapa 2: ative a proteção LSA

Método A: pelo Editor do Registro

1. 1. Pressione Win + R, digite regedit e pressione Enter.
   2. Acesse a chave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
   3. Confira os dois valores a seguir e configure-os conforme descrito:
      1. RunAsPPL
         • Se o DWORD RunAsPPL já existir, clique duas vezes nele e defina o valor como 1.
         • Se não existir:
           • Clique com o botão direito em um espaço vazio e selecione Novo > Valor DWORD (32 bits).
           • Nomeie como RunAsPPL.
           • Defina o valor como 1
      2. RunAsPPLBoot
         • Se o DWORD RunAsPPLBoot já existir, clique duas vezes nele e defina o valor como 1.
         • Se não existir:
           • Clique com o botão direito em um espaço vazio e selecione Novo > Valor DWORD (32 bits).
           • Nomeie como RunAsPPLBoot.
           • Defina o valor como 1.
   4. Reinicie o sistema para aplicar as alterações.

Método B: pelo PowerShell

1. 1. Abra o PowerShell como administrador.
   2. Execute os comandos:
      • Para ativar a proteção LSA:

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPL" -Value 1 -PropertyType DWORD -Force

• • • Para aplicar a proteção já na inicialização (opcional):

New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RunAsPPLBoot" -Value 1 -PropertyType DWORD -Force

1. 3. Reinicie o sistema para aplicar as alterações.

Etapa 3: localize e remova plug-ins LSA fora de conformidade

Método A: pelo Editor do Registro

1. 1. Pressione Win + R, digite regedit e pressione Enter.
   2. Acesse a chave: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
   3. Revise os pacotes de autenticação.
      • Verifique as entradas Authentication Packages e Security Packages em busca de plug-ins de terceiros.
      • Entre as entradas de terceiros mais comuns estão componentes antigos de antivírus ou de software de VPN.
   4. Desinstale ou atualize os softwares necessários.
      • Identifique qualquer software de segurança que não seja da Microsoft e possa injetar plug-ins LSA não assinados.
      • Desinstale ou atualize esses aplicativos para versões compatíveis com a proteção LSA.

Método B: pelo Visualizador de Eventos

1. 1. Pressione Win R, digite eventviewer.msc e pressione Enter.
   2. Acesse Logs do Windows > Sistema.
   3. Na lista suspensa Origens do evento, procure e selecione:
      • LSASS (Local Security Authority Subsystem Service)
      • CodeIntegrity
      • Também dá para filtrar pelo Event ID 3089 ou 3065, que costumam estar ligados a problemas de proteção LSA.
   4. Analise os detalhes. Preste atenção em referências a DLLs específicas ou caminhos de arquivo, principalmente os que estão fora de C:\Windows\System32. Anote também o nome e a localização de plug-ins de terceiros, como os de ferramentas antivírus desatualizadas.
   5. Compare com o que já está instalado no sistema em Configurações > Aplicativos > Aplicativos instalados.
   6. Remova o software fora de conformidade.
      • Se o plug-in pertencer a um aplicativo de terceiros conhecido:
        • Desinstale em Configurações > Aplicativos > Aplicativos instalados.
        • Use o desinstalador do fornecedor, se houver.
      • Se existir versão atualizada, baixe de uma fonte confiável e instale.
   7. Reinicie o sistema para garantir que todas as alterações sejam aplicadas.

Etapa 4: corrija problemas de integridade da LSA

Método A: use a opção “Corrigir” da Segurança do Windows (quando disponível)

1. 1. Acesse Configurações > Privacidade e segurança > Segurança do Windows > Segurança do dispositivo.
   2. Clique em Detalhes do isolamento do núcleo ou Processador de segurança (conforme a configuração do seu sistema).
   3. Se aparecer um botão Corrigir ou Reinicialização necessária, clique nele para iniciar a correção.
   4. Siga as instruções para reiniciar o sistema.

💡 Como na etapa 1, a interface gráfica às vezes falha ou nem aparece. Nesse caso, o método pode não funcionar. Outras opções:

Método B: confirme se o Registro está correto

Verifique se aplicou o método do Editor do Registro e o método do PowerShell para ativar explicitamente o RunAsPPL e, opcionalmente, o RunAsPPLBoot. Eles sobrepõem o comportamento da interface gráfica e aplicam a proteção LSA diretamente no nível do sistema.

Método C: investigue manualmente os softwares de terceiros

Lembre-se de que o Windows não remove software de terceiros; isso precisa ser feito manualmente. Havendo plug-ins não assinados, use o Visualizador de Eventos, conforme detalhado na Etapa 3, Método B, para identificar a origem.

Outros pontos de atenção sobre a proteção LSA

• Em ambientes corporativos, dá para usar Política de Grupo ou Provedores de Serviços de Configuração (CSPs) para aplicar a proteção LSA em vários sistemas.
• Ferramentas e softwares de terceiros mais antigos têm menos chance de estarem assinados. Nesses casos, o recomendado é desinstalar ou atualizar esses pacotes para eliminar o aviso.
• Vale monitorar o Visualizador de Eventos com frequência ou usar scripts do PowerShell para verificar o Event ID 3065 ou 3089, que apontam problemas de integridade da LSA.

Como resolver o aviso “LSA package is not signed as expected”

Esse aviso de proteção LSA aparece quando plug-ins de terceiros não atendem aos padrões atuais de integridade de código. Por mais irritante que seja, ele cumpre um papel importante: proteger o dispositivo contra ameaças. De todo modo, este guia mostrou os passos necessários para resolver o alerta e seguir com o trabalho sem interrupções.