El ataque Windows Downdate socava completamente la seguridad de Windows; aún no hay una solución disponible
Se ha identificado una vulnerabilidad en Windows 11 que permite degradar componentes del sistema a versiones antiguas y vulnerables mediante la manipulación del Registro de Windows. Este ataque, denominado Windows Downdate, compromete funciones críticas como el Secure Kernel y Windows Defender, y actualmente no cuenta con un parche oficial.
Investigadores de seguridad han demostrado que es posible comprometer la integridad de Windows 11 mediante ataques de degradación. El método, expuesto por Alon Leviev en la conferencia Black Hat, permite que un atacante con privilegios administrativos utilice una herramienta denominada Windows Downdate para forzar al sistema a utilizar versiones anteriores con exploits conocidos.
El ataque funciona manipulando la ruta de archivo en el Registro de Windows que apunta a las instrucciones de Windows Update. Al modificar estas rutas, el sistema puede ser inducido a instalar versiones maliciosas de componentes críticos. El proceso es invisible para el usuario y para las herramientas de protección de endpoint, ya que Windows Update sigue reportando el estado del sistema como "completamente parcheado".
Impacto en la infraestructura de seguridad
La vulnerabilidad afecta directamente a la seguridad basada en virtualización (VBS). Los atacantes pueden reemplazar los ejecutivos del Secure Kernel y del hipervisor Hyper-V por versiones no firmadas y antiguas. Al hacerlo, el sistema omite las protecciones de seguridad que resguardan el acceso a la memoria y al almacenamiento de contraseñas.
Además, el ataque permite:
- Robar nombres de usuario y contraseñas hash (incluyendo NTLM).
- Desactivar el software de protección integrado Windows Defender.
- Retroceder el hipervisor Hyper-V a versiones vulnerables.
Vulnerabilidades identificadas y variantes
Microsoft ha identificado dos vectores de ataque específicos: CVE-2024-21302 para el método Windows Downdate y CVE-2024-38202 para el método relacionado con la carpeta Windows.old. Este último permite a un usuario sin privilegios ejecutar un ataque de degradación si el sistema intenta realizar una Restauración del Sistema utilizando una carpeta maliciosa creada por el atacante.
El investigador Alon Leviev señaló que "la superficie de ataque de degradación que descubrí ha existido durante casi una década". El fallo de diseño permite que componentes en niveles de confianza más bajos actualicen componentes en niveles más altos, comprometiendo la jerarquía de seguridad del sistema.
Por qué importa y qué hacer
Este hallazgo es crítico porque invalida la confianza en el estado de parcheo de un sistema operativo. Si un atacante logra ejecutar un ataque de degradación, las herramientas de monitoreo tradicionales pueden no detectar la anomalía, ya que el comportamiento del sistema parecerá legítimo. Para las organizaciones, esto significa que la seguridad no puede depender únicamente de la verificación de parches de Windows.
- No utilices la función de Restauración del Sistema si sospechas de una intrusión.
- Monitorea cambios no autorizados en las rutas de archivos del Registro de Windows relacionadas con Windows Update.
- Restringe los privilegios de administrador a solo los usuarios y procesos que estrictamente lo requieran.
Relacionado:
Atacantes explotan vulnerabilidad crítica en Drupal Commerce Core
Hackers chinos usan un día cero de VMware ESX y vulnerabilidades en firewalls
CISA advierte sobre la explotación de la vulnerabilidad Node2Shell
Nota elaborada por Ciberseguridad en español a partir de información publicada por Scmagazine. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.
Comentarios
Publicar un comentario