Microsoft NTLM Zero-Day permanecerá sin parches hasta abril

Microsoft ha publicado una nueva guía para las organizaciones sobre cómo mitigar los ataques de retransmisión NTLM de forma predeterminada, pocos días después de que los investigadores informaron que ocurrieron en todas las versiones de Windows Workstation y Server, desde Windows 7 hasta las versiones actuales de Windows 11, y encontraron una divulgación de hash NTLM. día cero.

Sin embargo, no quedó claro de inmediato si los dos acontecimientos estaban relacionados temporalmente o eran pura coincidencia. En cualquier caso, es poco probable que el error, para el cual aún no existe una puntuación CVE o CVSS, se solucione hasta dentro de unos meses.

Windows NTLM Zero-Day permite el robo de credenciales

Investigadores de ACROS Security informaron Encontrar un error de día cero en todas las versiones compatibles de Windows. La falla permite a un atacante obtener las credenciales NTLM de un usuario simplemente engañando al usuario para que vea un archivo malicioso a través de la utilidad de administración de archivos del Explorador de Windows.

«Abrir una carpeta compartida o un disco duro USB que contenga dicho archivo o ver la carpeta de descarga donde este archivo se descargó previamente automáticamente desde el sitio web del atacante» es suficiente para comprometer las credenciales, dice Mitja Kolsek, director ejecutivo de ACROS Security. escribió en una publicación de blog.

ACROS dijo que no publicará más información sobre el error hasta que Microsoft tenga una solución. Pero Kolsek le dice a Dark Reading que la capacidad de un atacante para explotar la falla depende de varios factores.

«No es fácil descubrir dónde se puede explotar el problema sin intentar explotarlo», explica. Microsoft ha calificado la vulnerabilidad como moderada o «importante», una calificación un nivel inferior a la gravedad de los errores «críticos». La empresa tiene previsto lanzar una solución para esto en abril, afirma Kolsek.

En un comentario enviado por correo electrónico, un portavoz de Microsoft dijo que la compañía estaba «al tanto del informe y tomará las medidas necesarias para garantizar la protección del cliente».

La falla es la segunda filtración de credenciales NTLM de día cero que ACROS ha informado a Microsoft desde octubre. El anterior fue un Problema de suplantación de tema de Windows y permitió a los atacantes obligar a los dispositivos de las víctimas a enviar hashes de autenticación NTLM a los dispositivos controlados por los atacantes. Microsoft tampoco ha lanzado aún un parche para este error.

Los errores se encuentran entre varios problemas relacionados con NTLM que han surgido en los últimos años, incluido petitpotamDFSCoerce, PrinterBug/SpoolSample y recientemente uno que impacta esto Motor de aplicación de políticas de código abierto.

Peligros del protocolo heredado

NTLM de Windows (NT LAN Manager) es un protocolo de autenticación más antiguo que Microsoft está incorporando al Windows moderno para lograr compatibilidad con versiones anteriores. Los atacantes suelen atacar las vulnerabilidades del protocolo para interceptar solicitudes de autenticación y reenviarlas o «reenviarlas» para acceder a otros servidores o servicios a los que tienen acceso los usuarios originales.

En su aviso de esta semana, Microsoft describió la retransmisión NTLM como «un método de ataque popular utilizado por actores de amenazas que permite comprometer la identidad». Los ataques obligan a la víctima a autenticarse en un punto final controlado por el atacante y reenviar la autenticación a un servidor o servicio de destino vulnerable. El aviso señaló vulnerabilidades que los atacantes habían explotado anteriormente, como: CVE-2023-23397 en Outlook y CVE-2021-36942 en Windows LSA para explotar servicios que no están protegidos contra ataques de retransmisión NTLM.

En respuesta a tales ataques, Microsoft ha actualizado la guía de activación anterior. Protección avanzada para la autenticación (EPA) utiliza de forma predeterminada LDAP, AD CS y Exchange Server, dijo la compañía. El último Windows Server 2025 viene con EPA para AD CS y LDAP habilitados de forma predeterminada.

El aviso destacó la necesidad de que las organizaciones habiliten EHR específicamente para Exchange Server, ya que «Exchange Server desempeña un papel único en el panorama de amenazas NTLM». La empresa señaló CVE-2024-21413, CVE-2023-23397Y CVE-2023-36563 como ejemplos de vulnerabilidades recientes que los atacantes han explotado con fines de coerción NTLM. «Los documentos de Office y los correos electrónicos enviados a través de Outlook sirven como puntos de entrada eficaces para que los atacantes exploten las vulnerabilidades de coerción NTLM porque pueden incrustar enlaces UNC dentro de ellos», afirma la empresa.

Kolsek dice que no está claro si el consejo de Microsoft sobre la protección contra ataques NTLM tiene algo que ver con su reciente divulgación de errores. «[But] Si es posible, siga las recomendaciones de Microsoft para mitigar las vulnerabilidades relacionadas con NTLM”, afirma. «Si no, considere 0patch», añade, señalando los microparches gratuitos que su empresa proporciona para vulnerabilidades, particularmente en productos de software más antiguos y que ya no son compatibles.