La novedad anunciada busca evitar que se pueda abusar de los volcados de memoria de LSASS introduciendo funciones de seguridad que impiden el acceso al proceso.

Como forma de mitigar el robo de credenciales de Windows sin causar los conflictos introducidos por Credential Guard, Microsoft pronto habilitará una regla de reducción de la superficie de ataque (ASR) de Microsoft Defender por defecto.

"El estado predeterminado de la regla de reducción de la superficie de ataque (ASR), de bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows (lsass.exe)" cambiará de No configurado a Configurado y el modo predeterminado se establecerá en Bloquear. Todas las demás reglas ASR permanecerán en su estado predeterminado: No configurado", explica Microsoft en el documento actualizado sobre la regla ASR.

Como las reglas de Reducción de la Superficie de Ataque tienden a introducir falsos positivos y mucho ruido en los Registros de Eventos, Microsoft no había habilitado previamente la característica de seguridad por defecto.

Esta semana, también hemos sabido que Microsoft ha comenzado a retirar la herramienta WMIC que los actores de amenazas suelen utilizar para instalar malware y ejecutar comandos.

Es importante decir que la función completa de reducción de la superficie de ataque sólo es compatible con las licencias de Windows Enterprise que ejecutan Microsoft Defender como antivirus principal. Los investigadores de seguridad han descubierto rutas de exclusión integradas en Microsoft Defender que permiten a los actores de amenazas ejecutar sus herramientas desde esos nombres de archivo/directorios para eludir las reglas de ASR y seguir volcando el proceso de LSASS.

• Microsoft está habilitando una regla de seguridad de "Reducción de la superficie de ataque" de Microsoft Defender de forma predeterminada para bloquear los intentos de robar las credenciales de Windows del proceso LSASS.
• Cuando los actores de amenazas comprometen una red, intentan propagarse lateralmente a otros dispositivos mediante el robo de credenciales o el uso de exploits.
  

Uno de los métodos más comunes para robar las credenciales de Windows es obtener privilegios de administrador en un dispositivo comprometido y luego volcar la memoria del proceso del Servicio del servidor de la autoridad de seguridad local (LSASS) que se ejecuta en Windows.

Este volcado de memoria contiene hashes NTLM de las credenciales de Windows de los usuarios que habían iniciado sesión en la computadora que pueden ser forzados por fuerza bruta para obtener contraseñas de texto sin cifrar o utilizados en ataques Pass-the-Hash para iniciar sesión en otros dispositivos.

A continuación se muestra una demostración de cómo los actores de amenazas pueden usar el popular programa Mimikatz para volcar hashes NTLM de LSASS.

Volcar credenciales NTLM desde LSASS deump usando mimikatz

Si bien Microsoft Defender bloquea programas como Mimikatz, aún se puede transferir un volcado de memoria LSASS a una computadora remota para volcar las credenciales sin temor a ser bloqueado.
ASR de Microsoft Defender al rescate

Para evitar que los actores de amenazas abusen de los volcados de memoria LSASS, Microsoft ha introducido funciones de seguridad que impiden el acceso al proceso LSASS.

Una de estas características de seguridad es Credential Guard, que aísla el proceso LSASS en un contenedor virtualizado que evita que otros procesos accedan a él.

Sin embargo, esta función puede generar conflictos con los controladores o las aplicaciones, lo que hace que algunas organizaciones no la habiliten.

Como una forma de mitigar el robo de credenciales de Windows sin causar los conflictos introducidos por Credential Guard, Microsoft pronto habilitará una regla de reducción de superficie de ataque (ASR) de Microsoft Defender de forma predeterminada.

La regla, 'Bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows', evita que los procesos abran el proceso LSASS y descarguen su memoria, incluso si tiene privilegios administrativos.

Este nuevo cambio fue descubierto esta semana por el investigador de seguridad Kostas, quien detectó una actualización en la documentación de las reglas ASR de Microsoft.

"El estado predeterminado para la regla de reducción de la superficie de ataque (ASR) "Bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows (lsass.exe)" cambiará de No configurado a Configurado y el modo predeterminado se establecerá en Bloquear. Todas las demás reglas de ASR permanecen en su estado predeterminado: No configurado", explicó Microsoft en el documento actualizado sobre la regla ASR.

• https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/attack-surface-reduction-rules-reference?view=o365-worldwide#block-credential-stealing-from-the-windows-local-security-authority-subsystem
  

Como las reglas de reducción de la superficie de ataque tienden a introducir falsos positivos y mucho ruido en los registros de eventos, Microsoft no había activado previamente la función de seguridad de forma predeterminada.


Por ejemplo, Microsoft anunció recientemente que evitaría que las macros VBA en los documentos de Office descargados se habilitaran dentro de las aplicaciones de Office en abril, acabando con un popular método de distribución de malware.

Esta semana, también supimos que Microsoft había comenzado a desaprobar la herramienta WMIC que los actores de amenazas suelen usar para instalar malware y ejecutar comandos.
No es la solución perfecta, pero es un gran comienzo.

Fuentes:

https://www.genbeta.com/actualidad/windows-tiene-nueva-barrera-para-impedir-robo-contrasenas-gracias-a-microsoft-defender

https://www.bleepingcomputer.com/news/microsoft/microsoft-is-making-it-harder-to-steal-windows-passwords-from-memory/