Nuevo día cero en Windows expone credenciales NTLM y recibe parche no oficial

AXCESS · Diciembre 08, 2024, 02:40:54 AM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Se ha descubierto una nueva vulnerabilidad de día cero que permite a los atacantes capturar credenciales NTLM simplemente engañando al objetivo para que vea un archivo malicioso en el Explorador de Windows.

El equipo de 0patch, una plataforma que proporciona soporte no oficial para versiones de Windows que han llegado al final de su vida útil, descubrió la falla y la informó a Microsoft. Sin embargo, todavía no se ha publicado ninguna solución oficial.

Según 0patch, el problema, que actualmente no tiene un identificador CVE, afecta a todas las versiones de Windows, desde Windows 7 y Server 2008 R2 hasta las últimas versiones de Windows 11 24H2 y Server 2022.

Un exploit sin clic

0patch ha retenido los detalles técnicos de la vulnerabilidad de día cero hasta que Microsoft proporcione una solución oficial para evitar que se fomente la explotación activa en la naturaleza.

Los investigadores explicaron que el ataque funciona simplemente visualizando un archivo malicioso especialmente diseñado en el Explorador de archivos, por lo que no es necesario abrir el archivo.

"La vulnerabilidad permite a un atacante obtener las credenciales NTLM del usuario simplemente haciendo que el usuario visualice un archivo malicioso en el Explorador de Windows, por ejemplo, abriendo una carpeta compartida o un disco USB con dicho archivo, o visualizando la carpeta de Descargas donde dicho archivo se descargó previamente de forma automática desde la página web del atacante", explica 0patch.

Aunque 0Patch no comparte más detalles sobre la vulnerabilidad, BleepingComputer entiende que fuerza una conexión NTLM saliente a un recurso compartido remoto. Esto hace que Windows envíe automáticamente hashes NTLM para el usuario conectado, que el atacante puede robar.

Como se ha demostrado repetidamente, estos hashes se pueden descifrar, lo que permite a los actores de amenazas obtener acceso a los nombres de inicio de sesión y las contraseñas de texto sin formato. Microsoft anunció hace un año sus planes de eliminar el protocolo de autenticación NTLM en Windows 11 en el futuro.

0patch señala que esta es la tercera vulnerabilidad de día cero que informaron recientemente a Microsoft y que el proveedor no ha tomado medidas inmediatas para solucionar.

Las otras dos son la omisión de Mark of the Web (MotW) en Windows Server 2012, que se dio a conocer a fines del mes pasado, y una vulnerabilidad de Windows Themes que permite el robo remoto de credenciales NTLM, revelada a fines de octubre. Ambos problemas siguen sin solucionarse.

0patch dice que otras fallas de divulgación de hash NTLM reveladas en el pasado, como PetitPotam, PrinterBug/SpoolSample y DFSCoerce, siguen sin una solución oficial en las últimas versiones de Windows, lo que deja a los usuarios solo con los microparches proporcionados por 0patch.

Microparche gratuito disponible

0patch ofrecerá un microparche gratuito para el último día cero de NTLM a todos los usuarios registrados en su plataforma hasta que Microsoft proporcione una solución oficial.

Las cuentas PRO y Enterprise ya han recibido el microparche de seguridad automáticamente a menos que su configuración lo impida explícitamente.

Para recibir este parche no oficial, cree una cuenta gratuita en 0patch Central, inicie una prueba gratuita y luego instale el agente y permita que aplique los microparches apropiados automáticamente. No es necesario reiniciar.

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Los usuarios que no quieran aplicar el parche no oficial proporcionado por 0patch pueden considerar desactivar la autenticación NTLM con una Política de grupo en 'Configuración de seguridad > Políticas locales > Opciones de seguridad' y configurar las políticas "Seguridad de red: Restringir NTLM". Lo mismo se puede lograr mediante modificaciones del registro.

Actualización 7/12: Microsoft respondió a la solicitud de BleepingComputer de un comentario con la siguiente declaración:

"Estamos investigando este informe y tomaremos las medidas necesarias para ayudar a mantener protegidos a los clientes". - un portavoz de Microsoft

Fuente:
BleepingComputer
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Nuevo día cero en Windows expone credenciales NTLM y recibe parche no oficial

AXCESS

Diciembre 08, 2024, 02:40:54 AM