Microsoft pasó por alto una vulnerabilidad crítica en Windows que permitía a los piratas informáticos transferir derechos de administrador a otras cuentas
2 minuto. leer
Actualizado en
Compartir este artículo
Mejorar esta guía
Lea nuestra página de divulgación para descubrir cómo puede ayudar a MSPoweruser a sostener el equipo editorial. Leer más
Un nuevo informe compartido por el experto en ciberseguridad colombiano Sebastián Castro revela detalles impactantes sobre una vulnerabilidad crítica en Windows. Castro compartió detalles sobre la vulnerabilidad que permitiría a los piratas informáticos transferir derechos de administrador a otras cuentas.
Según CSL, la vulnerabilidad existe desde Windows XP y permite transferir los derechos de los administradores a cuentas arbitrarias. Castro escribió el módulo Metasploit él mismo para probar y demostrar la vulnerabilidad.
Así que decidí escribir un módulo de Metasploit, tomando como referencia el publicación enable_support_account módulo que fue desarrollado por mi colega y amigo Santiago Díaz. Este módulo explota el núcleo de la vulnerabilidad mencionada en la referencia anterior, pero se limita a funcionar solo en XP / 2003 versión de Windows, modificando un descriptor de seguridad de la soporte_388945a0 cuenta incorporada.
Sin embargo, a pesar de la rid_hijack módulo automatiza este ataque con cualquier cuenta existente en la víctima. Se puede encontrar en publicar/windows/manage/rid_hijack.
– Sebastián Castro
Una vez que se configuró el módulo, Castro lo probó en varios sistemas operativos, incluidos Windows XP, Windows Server 2003, Windows 8.1 y Windows 10. También explicó cómo funciona todo el proceso y permitirá que los piratas informáticos transfieran todos los derechos de administrador desde un Cuenta de administrador a una cuenta de invitado.
Independientemente de la versión desde XP, Windows usa el Administrador de cuentas de seguridad (SAM) para almacenar los descriptores de seguridad de los usuarios locales y las cuentas integradas. Como se menciona en Cómo funcionan los principales de seguridad, cada cuenta tiene un RID asignado que la identifica. A diferencia de los controladores de dominio, las estaciones de trabajo y los servidores de Windows almacenarán la mayor parte de estos datos en la clave HKLM\SAM\SAM\Domains\Account\Users, que requiere privilegios de SISTEMA para acceder.
– Sebastián Castro
Lo lamentable es que la empresa envió un informe a Microsoft hace unos 10 meses, pero nunca fue respondido. Esto les dio permiso para revelar la vulnerabilidad después de un período de tiempo fijo. Sin embargo, nacido gunter, informó recientemente que la adaptación del objeto de política de grupo de referencia podría evitar que el ataque se produzca en una situación de la vida real. Dicho esto, todavía estamos esperando que Microsoft publique una declaración oficial.
