Se ha descubierto una vulnerabilidad de día cero en Windows, denominada LegacyHive (MSNightmare), que afecta al Servicio de Perfil de Usuario (ProfSvc). Este fallo permite a los atacantes lograr una escalada de privilegios locales, manipular cuentas de administrador y ejecutar código con nivel de permisos de administrador al abusar del proceso de carga y descarga de los perfiles de usuario y sus colmenas de registro durante el inicio y cierre de sesión.

Una vulnerabilidad de día cero de Windows, apodada LegacyHive (MSNightmare), abusa del Servicio de Perfil de Usuario para permitir la escalada de privilegios locales, la manipulación de cuentas de administrador y la ejecución de código a nivel de administrador.

LegacyHive tiene como objetivo el Servicio de Perfil de Usuario de Windows (ProfSvc), que es responsable de cargar y descargar los perfiles de usuario y sus colmenas (hives) del registro durante el inicio y cierre de sesión.

La prueba de concepto (PoC) pública de la cuenta de GitHub de MSNightmare describe el error como una “vulnerabilidad de elevación de privilegios por carga de colmena arbitraria del servicio de perfil de usuario de Windows”.

En términos prácticos, LegacyHive permite que un usuario con bajos privilegios monte la colmena del registro de otro usuario, específicamente la colmena UsrClass.dat, en su propio HKEY_CLASSES_ROOT, exponiendo los datos de aplicación y la configuración de ese otro usuario como si fueran propios.

El investigador de seguridad Will Dormann demostró que, al ejecutar LegacyHive.exe con las credenciales de un segundo usuario estándar, especificando el nombre de una cuenta de administrador y luego iniciando regedit.exe como ese segundo usuario, el no administrador obtiene acceso directo a la colmena de registro Classes del administrador.

Vulnerabilidad de día cero de Windows LegacyHive

Por sí solo, el acceso de solo lectura a UsrClass.dat no expone inmediatamente los hashes de contraseñas ni el robo directo de credenciales. Sin embargo, crea una primitiva poderosa: un no administrador puede modificar la colmena de registro de clases de un administrador y secuestrar la forma en que esa cuenta inicia aplicaciones u objetos COM.

Dormann mostró que un no administrador podría, por ejemplo, cambiar la asociación de archivos .txt en la colmena del administrador para ejecutar calc.exe en lugar de un editor de texto, ilustrando cómo el código arbitrario puede integrarse en el flujo de trabajo del administrador.

Más peligrosamente, un atacante puede sobrescribir objetos COM o extensiones de shell que se cargan automáticamente cuando el administrador inicia sesión, convirtiendo la colmena secuestrada en un mecanismo de persistencia y ejecución de código que se ejecuta con privilegios de administrador durante un inicio de sesión normal.

Debido a que la ejecución ocurre en el contexto de la cuenta de administrador legítima en su propia máquina, tal actividad puede parecer “normal”, haciendo que las herramientas de detección y respuesta de endpoints (EDR) tengan menos probabilidades de marcarla como sospechosa.

La PoC pública de NightmareEclipse fue deliberadamente simplificada: requiere credenciales de otro usuario estándar, se limita a la colmena UsrClass.dat y omite la lógica generalizada de carga de colmenas arbitrarias.

El investigador afirma que el exploit original no requería credenciales de usuario adicionales y podía obligar a ProfSvc (e incluso lograr una suplantación de identidad a nivel de kernel como NT AUTHORITY\SYSTEM) a cargar cualquier colmena, ampliando enormemente su impacto más allá de las clases de usuario.

A pesar de que el Patch Tuesday de julio de 2026 de Microsoft solucionó cientos de CVE, se informa que LegacyHive funciona en todas las ediciones de escritorio y servidor de Windows actualmente soportadas que estén totalmente parcheadas con esas actualizaciones, sin un CVE asignado ni un boletín de seguridad dedicado en el momento de la divulgación.

Microsoft ha declarado públicamente que está “al tanto de la vulnerabilidad reportada y está investigando activamente la validez y la aplicabilidad potencial de estas afirmaciones”, pero las organizaciones aún no pueden confiar en una solución oficial.

La ingeniería inversa temprana utilizando herramientas como Process Monitor indica que LegacyHive abusa de la forma en que ProfSvc resuelve y abre el UsrClass.dat del usuario objetivo a través del Administrador de Objetos de Windows y las rutinas de carga de colmenas del registro.

Dormann observó que el intento inicial de abrir la colmena del administrador objetivo utilizando una identidad de bajos privilegios devuelve una respuesta de ACCESS DENIED.

Sin embargo, un reintento posterior bajo un contexto suplantado de NT AUTHORITY\SYSTEM tiene éxito, dejando la colmena montada y accesible para el usuario controlado por el atacante.

Este comportamiento se alinea con peculiaridades antiguas de Windows donde la suplantación mediada por el kernel y las condiciones de carrera en operaciones de archivos o registro pueden abusarse para obtener efectos a nivel de SYSTEM, un patrón previamente documentado en la investigación de Project Zero sobre la creación de archivos arbitrarios y el secuestro de la colmena de clases.

LegacyHive parece reutilizar ese patrón contra ProfSvc, resultando en lo que los investigadores describen como una ruta de escalada de privilegios locales no parcheada a través de la carga de colmenas arbitrarias.

Debido a que LegacyHive es local y ocurre después de una intrusión, los atacantes ya deben tener acceso a un sistema Windows y al menos una cuenta de no administrador antes de explotar el error. Sin embargo, luego ofrece una ruta para sabotear a usuarios con mayores privilegios y escalar permisos.

Hasta que Microsoft lance un parche, puedes reducir el riesgo restringiendo el inicio de sesión local para cuentas privilegiadas, segmentando las estaciones de trabajo de administrador, reforzando la supervisión de las modificaciones de la colmena del registro y vigilando estrechamente los cambios de registro de objetos/COM en los perfiles de administrador.

Las organizaciones también deberían tratar los sistemas donde se encuentren herramientas de NightmareEclipse, LegacyHive y exploits previos de RoguePlanet/Defender, como potencialmente comprometidos, dado el historial del investigador en el lanzamiento de PoC funcionales contra versiones de Windows totalmente parcheadas.

Fuentes:
https://cybersecuritynews.com/windows-legacyhive-0-day-vulnerability/