Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET

Suscripción

¿Quieres recibir las últimas novedades del blog en tu correo?

¡Suscríbete al feed!

Entradas populares

PostHeaderIcon Windows añade protecciones para evitar la extracción contraseñas en memoria


 Microsoft está habilitando por defecto una nueva función de seguridad en Microsoft Defender para "reducir la superficie de ataque" para bloquear los ataques de robas credenciales de Windows en memoria desde el proceso LSASS o Local Security Authority Server Service. Esto es porque unos de los métodos más comunes para robar credenciales de Windows es obtener privilegios de administrador en un dispositivo comprometido y luego volcar la memoria del proceso (LSASS) que se ejecuta en Windows.

 


 

Volcado de memoria contiene los hashes NTLM de las credenciales de Windows de los usuarios que han iniciado sesión en el ordenador, que pueden ser forzados para obtener contraseñas en texto plano o utilizados en ataques Pass-the-Hash para iniciar sesión en otros dispositivos.

 

Mimikatz vs Windows Defender

Los actores de amenazas pueden utilizar el popular programa Mimikatz para volcar los hashes NTLM de LSASS. Microsoft Defender bloquea programas como Mimikatz, un volcado de memoria de LSASS todavía puede ser transferido a un equipo remoto para volcar las credenciales sin temor a ser bloqueado. Hay quer recordar que el pasado año Mimikatz apareció dentro de un par de procesos de ataques, como el de diciembre con NICKEL.

La novedad anunciada busca evitar que se pueda abusar de los volcados de memoria de LSASS introduciendo funciones de seguridad que impiden el acceso al proceso.

Como forma de mitigar el robo de credenciales de Windows sin causar los conflictos introducidos por Credential Guard, Microsoft pronto habilitará una regla de reducción de la superficie de ataque (ASR) de Microsoft Defender por defecto.

"El estado predeterminado de la regla de reducción de la superficie de ataque (ASR), de bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows (lsass.exe)" cambiará de No configurado a Configurado y el modo predeterminado se establecerá en Bloquear. Todas las demás reglas ASR permanecerán en su estado predeterminado: No configurado", explica Microsoft en el documento actualizado sobre la regla ASR.

Como las reglas de Reducción de la Superficie de Ataque tienden a introducir falsos positivos y mucho ruido en los Registros de Eventos, Microsoft no había habilitado previamente la característica de seguridad por defecto.

Esta semana, también hemos sabido que Microsoft ha comenzado a retirar la herramienta WMIC que los actores de amenazas suelen utilizar para instalar malware y ejecutar comandos.

Es importante decir que la función completa de reducción de la superficie de ataque sólo es compatible con las licencias de Windows Enterprise que ejecutan Microsoft Defender como antivirus principal. Los investigadores de seguridad han descubierto rutas de exclusión integradas en Microsoft Defender que permiten a los actores de amenazas ejecutar sus herramientas desde esos nombres de archivo/directorios para eludir las reglas de ASR y seguir volcando el proceso de LSASS.

 

  • Microsoft está habilitando una regla de seguridad de "Reducción de la superficie de ataque" de Microsoft Defender de forma predeterminada para bloquear los intentos de robar las credenciales de Windows del proceso LSASS.
  • Cuando los actores de amenazas comprometen una red, intentan propagarse lateralmente a otros dispositivos mediante el robo de credenciales o el uso de exploits.


Uno de los métodos más comunes para robar las credenciales de Windows es obtener privilegios de administrador en un dispositivo comprometido y luego volcar la memoria del proceso del Servicio del servidor de la autoridad de seguridad local (LSASS) que se ejecuta en Windows.

Este volcado de memoria contiene hashes NTLM de las credenciales de Windows de los usuarios que habían iniciado sesión en la computadora que pueden ser forzados por fuerza bruta para obtener contraseñas de texto sin cifrar o utilizados en ataques Pass-the-Hash para iniciar sesión en otros dispositivos.

A continuación se muestra una demostración de cómo los actores de amenazas pueden usar el popular programa Mimikatz para volcar hashes NTLM de LSASS.

Volcar credenciales NTLM desde LSASS deump usando mimikatz



Si bien Microsoft Defender bloquea programas como Mimikatz, aún se puede transferir un volcado de memoria LSASS a una computadora remota para volcar las credenciales sin temor a ser bloqueado.
ASR de Microsoft Defender al rescate

Para evitar que los actores de amenazas abusen de los volcados de memoria LSASS, Microsoft ha introducido funciones de seguridad que impiden el acceso al proceso LSASS.

Una de estas características de seguridad es Credential Guard, que aísla el proceso LSASS en un contenedor virtualizado que evita que otros procesos accedan a él.

Sin embargo, esta función puede generar conflictos con los controladores o las aplicaciones, lo que hace que algunas organizaciones no la habiliten.

Como una forma de mitigar el robo de credenciales de Windows sin causar los conflictos introducidos por Credential Guard, Microsoft pronto habilitará una regla de reducción de superficie de ataque (ASR) de Microsoft Defender de forma predeterminada.

La regla, 'Bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows', evita que los procesos abran el proceso LSASS y descarguen su memoria, incluso si tiene privilegios administrativos.


Este nuevo cambio fue descubierto esta semana por el investigador de seguridad Kostas, quien detectó una actualización en la documentación de las reglas ASR de Microsoft.

"El estado predeterminado para la regla de reducción de la superficie de ataque (ASR) "Bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows (lsass.exe)" cambiará de No configurado a Configurado y el modo predeterminado se establecerá en Bloquear. Todas las demás reglas de ASR permanecen en su estado predeterminado: No configurado", explicó Microsoft en el documento actualizado sobre la regla ASR.


Como las reglas de reducción de la superficie de ataque tienden a introducir falsos positivos y mucho ruido en los registros de eventos, Microsoft no había activado previamente la función de seguridad de forma predeterminada.


Por ejemplo, Microsoft anunció recientemente que evitaría que las macros VBA en los documentos de Office descargados se habilitaran dentro de las aplicaciones de Office en abril, acabando con un popular método de distribución de malware.

Esta semana, también supimos que Microsoft había comenzado a desaprobar la herramienta WMIC que los actores de amenazas suelen usar para instalar malware y ejecutar comandos.
No es la solución perfecta, pero es un gran comienzo.

Fuentes:

https://www.genbeta.com/actualidad/windows-tiene-nueva-barrera-para-impedir-robo-contrasenas-gracias-a-microsoft-defender

https://www.bleepingcomputer.com/news/microsoft/microsoft-is-making-it-harder-to-steal-windows-passwords-from-memory/ 


0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.