El ataque Zerologon permite a los piratas informáticos hacerse cargo de las redes empresariales: parchea ahora

Sin que muchos lo supieran, el mes pasado Microsoft corrigió uno de los errores más graves jamás reportados a la compañía, un problema del que se podría abusar para controlar fácilmente los servidores Windows que se ejecutan como controladores de dominio en redes empresariales. El error se corrigió en el martes de parches de agosto de 2020 con el identificador CVE-2020-1472. Se describió como una elevación de privilegios en Netlogon, el protocolo que autentica a los usuarios frente a los controladores de dominio.
La vulnerabilidad recibió la clasificación de gravedad máxima de 10, pero los detalles nunca se hicieron públicos, lo que significa que los usuarios y administradores de TI nunca supieron cuán peligroso era realmente el problema. Pero en una publicación de blog de hoy, el equipo de Secura B.V.
, una firma de seguridad holandesa, finalmente levantó el velo de este misterioso error y publicó un informe técnico que describe CVE-2020-1472 con mayor profundidad. Y según el informe, el error es realmente digno de su puntuación de gravedad CVSSv3 de 10/10. Según los expertos de Secura, el error, al que llamaron Zerologon, aprovecha un algoritmo criptográfico débil utilizado en el proceso de autenticación de Netlogon.
Este error permite a un atacante manipular los procedimientos de autenticación de Netlogon y: La esencia, y la razón por la que el error se ha llamado Zerologon, es que el ataque se realiza agregando cero caracteres en ciertos parámetros de autenticación de Netlogon (vea el gráfico a continuación). Imagen: Secura Todo el ataque es muy rápido y puede durar hasta tres segundos como máximo. Además, no hay límites en la forma en que un atacante puede usar el ataque Zerologon.
Por ejemplo, el atacante también podría hacerse pasar por el controlador de dominio y cambiar su contraseña, lo que permite que el pirata informático se apodere de toda la red corporativa. Existen limitaciones sobre cómo se puede utilizar un ataque de Zerologon. Para empezar, no se puede utilizar para tomar el control de servidores Windows desde fuera de la red.
Un atacante primero necesita un punto de apoyo dentro de una red. Sin embargo, cuando se cumple esta condición, literalmente se termina el juego para la empresa atacada. "Este ataque tiene un gran impacto", dijo el equipo de Secura.
"Básicamente permite que cualquier atacante en la red local (como un interno malintencionado o alguien que simplemente conectó un dispositivo a un puerto de red local) comprometer completamente el dominio de Windows ". Además, este error también es una bendición para las bandas de malware y ransomware, que a menudo se basan en infectar una computadora dentro de la red de una empresa y luego propagarse a muchas otras. Con Zerologon, esta tarea se ha simplificado considerablemente.
Pero parchear Zerologon no fue una tarea fácil para Microsoft, ya que la compañía tuvo que modificar la forma en que miles de millones de dispositivos se conectan a las redes corporativas, interrumpiendo efectivamente las operaciones de innumerables empresas. Este proceso de parcheo está programado para tener lugar en dos fases. El primero tuvo lugar el mes pasado, cuando Microsoft lanzó una solución temporal para el ataque Zerologon.
Este parche temporal hizo que las funciones de seguridad de Netlogon (que Zerologon estaba deshabilitando) fueran obligatorias para todas las autenticaciones de Netlogon, rompiendo efectivamente los ataques de Zerologon. No obstante, un parche más completo está programado para febrero de 2021, en caso de que los atacantes encuentren una forma de evitar los parches de agosto. Desafortunadamente, Microsoft anticipa que este último parche terminará rompiendo la autenticación en algunos dispositivos.
Aquí se describen algunos detalles sobre este segundo parche. Los ataques que usan Zerologon son un hecho, principalmente debido a la gravedad del error, el amplio impacto y los beneficios para los atacantes. Secura no ha publicado un código de prueba de concepto para un ataque de Zerologon armado, pero la compañía espera que finalmente salgan a la luz después de que su informe se difunda hoy en línea.
Mientras tanto, la compañía ha lanzado una secuencia de comandos de Python, una secuencia de comandos que puede indicar a los administradores si su controlador de dominio se ha parcheado correctamente. Actualizado a las 5:00 p.m. ET para agregar que, como se esperaba, el código de prueba de concepto armado se ha puesto a disposición del público, lo que significa que la ventana de explotación de esta vulnerabilidad ahora está abierta.