Si alguna vez hubo un momento para reexaminar la seguridad de su Active Directory, es ahora.
En respuesta a la creciente preocupación por la conocida vulnerabilidad «Zerologon» (CVE-2020-1472), la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) ha emitido una«directiva de emergencia» dirigida a los organismos federales para que apliquen inmediatamente el parche de Microsoft. Las empresas harían bien en seguir su ejemplo.
Vulnerabilidad grave de escalada de privilegios «Zerologon»
En la última semana, ha aparecido en Internet un código de explotación para la grave vulnerabilidad de escalada de privilegios denominada "Zerologon". La vulnerabilidad reside en el protocolo remoto Netlogon. Al enviar una serie de mensajes Netlogon con varios campos rellenados con ceros, el atacante puede cambiar la contraseña del controlador de dominio (DC) almacenado en AD. En efecto, el ataque permite a cualquier actor de amenaza en la red local elevar sus privilegios y comprometer el dominio de Windows sin ninguna credencial de usuario. Con Zerologon, los atacantes pueden robar las credenciales de administrador del dominio y restaurar la contraseña original del controlador de dominio, facilitando todo tipo de ataques, desde ransomware hasta robo de datos.
Descubierto por investigadores de Secura, el fallo tiene una puntuación CVSS de 10 sobre 10, la más grave. Ya se han publicado varias pruebas de concepto de Zerologon. Zerologon también se ha puesto en funcionamiento en una versión actualizada de la herramienta Mimikatz.
¿Ya has parcheado?
Dada la circulación de exploits, existe una gran presión para aplicar los parches lo antes posible. Este problema se está abordando en dos fases. En agosto, Microsoft lanzó unaactualización de seguridadque modifica el protocolo Netlogon para proteger los dispositivos Windows de forma predeterminada, registrar eventos relacionados con la detección de dispositivos no conformes y habilitar la protección para todos los dispositivos unidos a un dominio, con excepciones explícitas. Está previsto que una segunda actualización se publique en el primer trimestre de 2021. Esta impondrá el uso seguro de las llamadas a procedimientos remotos (RPC) para las cuentas de máquina en sistemas que no estén basados en Windows, a menos que lo permita la política de grupo «Controlador de dominio: Permitir conexiones vulnerables a través del canal seguro de Netlogon».
Cabe señalar que, tras implementar la actualización de agosto, los controladores de dominio (DC) parcheados registrarán el ID de evento 5829 en el registro de eventos del sistema cada vez que se permita una conexión vulnerable a través del canal seguro de Netlogon. Microsoft recomienda a las organizaciones que resuelvan estos eventos antes de configurar elmodo de aplicación delos DC o antes de la actualización de 2021 para evitar interrupciones del servicio. También es fundamental que se actualicen todos los controladores de dominio, incluso los de solo lectura. El proceso de aplicación de parches no siempre es sencillo, ya que a menudo se ve afectado por retrasos debido al gran número de aplicaciones y sistemas que hay en los entornos informáticos y al temor generalizado a interrumpir las operaciones. Aun así, cualquier organización que utilice Active Directory debería empezar ya a identificar los sistemas vulnerables y dar prioridad a la aplicación de parches.
Prepárese para una afluencia de nuevos ataques dirigidos a Active Directory
Tras aplicar rigurosamente los parches, es hora de tomar conciencia de la avalancha de nuevos ataques que aprovechan Active Directory. Identifica tus puntos débiles y céntrate en reforzar AD. Las evaluaciones de vulnerabilidades y de configuración son elementos fundamentales para elevar el listón a los atacantes que tienen como objetivo AD. Del mismo modo, la supervisión continua de los cambios en AD que eluden los registros de seguridad y la activación de la reversión autónoma de modificaciones sospechosas —que son demasiado arriesgadas como para esperar a la intervención humana— detendrán el movimiento lateral y las amenazas persistentes avanzadas. La supervisión automatizada, la evaluación de vulnerabilidades y la corrección son elementos fundamentales para mantener seguro su entorno de AD.
En caso de desastre cibernético, realizar copias de seguridad periódicas y almacenarlas fuera de línea marcará la diferencia entre una breve interrupción y un tiempo de inactividad prolongado si la AD se ve comprometida. De lo contrario, las copias de seguridad accesibles a través de la red pueden destruirse fácilmente y aumentar las posibilidades de pago por parte de la víctima. Las organizaciones siempre deben tener suficientes copias de seguridad para realizar una recuperación forestal completa. Por último, evite las restauraciones "bare-metal" y de estado del sistema cuando se recupere de un ciberataque, ya que estos enfoques conllevan graves problemas subyacentes, incluida la posibilidad probable de reinfección por malware.
Como demuestra Zerologon, ha llegado el momento de que las organizaciones analicen con detenimiento el estado de seguridad de Active Directory. Un atacante decidido siempre encontrará la forma de colarse, sea como sea. No permitas que AD sea un blanco fácil.
