A la hora de proteger un sistema, es importante aplicar las actualizaciones que periódicamente se van publicando para evitar que los atacantes puedan aprovechar vulnerabilidades que lleguen a comprometer la seguridad de nuestros dispositivos. Sin embargo, también existen vulnerabilidades, conocidas como 0-day, que durante un tiempo no van a ser parcheadas, siendo especialmente peligrosas por ese motivo.
Exploit en Windows permite obtener privilegios de administrador
Recientemente se ha conocido la existencia de un exploit que afecta a todas las versiones soportadas de Windows, incluyendo Windows 10, 11 y Windows Server 2022. Este exploit se aprovecharía de una vulnerabilidad para realizar una escalada de privilegios de forma local y permitiría a un atacante obtener el permiso de SYSTEM a partir de una cuenta con privilegios estándar.
Este exploit ha sido desarrollado y publicado por el investigador Abdelhamid Naceri, quien encontró una manera de sortear el parche que fue publicado por Microsoft en los boletines de seguridad de noviembre, lanzado precisamente para evitar una vulnerabilidad que permitía la elevación de privilegios. Aparentemente y según el investigador, el fallo de seguridad no fue solucionado de forma correcta por Microsoft, lo que le ha permitido desarrollar un exploit con más capacidades que las que había originalmente para esa vulnerabilidad.
Debido a que este exploit funciona hasta con la última versión de Windows totalmente parcheada, debemos preguntarnos el motivo por el cual el investigador ha publicado todos los detalles (incluyendo una prueba de concepto). Así lo han hecho desde Bleeping Computer, y la respuesta del investigador no ha sido otra que las pobres recompensas que ofrece Microsoft para aquellos que buscan agujeros de seguridad.
De momento no existe posibilidad de solucionar esta vulnerabilidad, lo que permitiría a atacantes con un acceso limitado a un dispositivo comprometido realizar una elevación de privilegios que les permitiría realizar movimientos laterales en una red corporativa. Se espera que Microsoft corrija esta vulnerabilidad en los boletines que se publicarán el segundo martes de diciembre.
Se publica exploit para vulnerabilidad en MS Exchange
Siguiendo con los parches de seguridad publicados por Microsoft durante noviembre, recientemente también se ha publicado un exploit como prueba de concepto para una vulnerabilidad que afecta a servidores Microsoft Exchange Server 2016 y 2019. Esta vulnerabilidad permite a un atacante previamente autenticado ejecutar código de forma remota en servidores Exchange vulnerables.
Microsoft es consciente de la explotación de esta vulnerabilidad de forma activa por parte de atacantes y, por ese motivo, recomienda aplicar los parches publicados hace unas semanas lo antes posible. Recordemos que, durante este año, se han publicado varias vulnerabilidades en servidores Exchange y que han sido aprovechadas en numerosos ataques.
Los ataques aprovechando la vulnerabilidad ProxyLogon, por ejemplo, han sido utilizados para desplegar web shells, criptomineros y otras vulnerabilidades como ProxyShell. Esto les permitió desplegar otras amenazas como ransomware cuando, una vez obtenido el acceso al servidor Exchange, se explotaban otras vulnerabilidades como PetitPotam para hacerse con el controlador de dominio de Windows. De esta forma pueden desplegar el payload con ransomware a todas las estaciones de trabajo administradas en ese dominio, acelerando así el proceso de cifrado de la información.
Conclusión
Siempre que se descubre que alguna vulnerabilidad está siendo aprovechada por atacantes es importante revisar si tenemos aplicados los correspondientes parches de seguridad, si estos están disponibles. Además, debemos aplicar medidas de mitigación para evitar que tanto las vulnerabilidades conocidas como aquellas aún por descubrir puedan tener un impacto grave en nuestra empresa y protegernos con soluciones de seguridad que sean capaces de detectar y bloquear el uso de exploits.