Alexander Korznikov, un investigador en seguridad israelí, ha publicado una manera de secuestrar la sesión de una cuenta de Windows con más privilegios que la actualmente en ejecución, utilizando para ello la línea de comandos. En caso de ser la cuenta secuestrada un administrador, el hacker podría conseguir acceso completo a la red, incluyendo los servicios de dominio.

La situación se vuelve algo más preocupante si se tiene en cuenta que, según el investigador, esta técnica se puede poner en práctica sin que salten los avisos. La técnica también se puede aplicar desde un administrador para secuestrar usuarios con menos privilegios en el sistema, los cuales no suelen tener un acceso muy amplio a una red, pero sí ejecutan aplicaciones importantes dentro de una corporación o bases de datos corporativas.

Korznikov explica lo siguiente en un vídeo publicado en YouTube:

Un empleado de un banco tiene acceso al sistema de cobros y a sus credenciales para acceder. Un día, accede al sistema de cobros y empieza a trabajar. En el tiempo del almuerzo él bloquea su estación de trabajo. Entonces el administrador del sistema accede con su cuenta a la estación de trabajo del empleado. Cumpliendo las políticas del banco, el administrador no tendría que tener acceso al sistema de cobros, pero con un par de comandos introducidos en Windows, el administrador puede secuestrar el escritorio del empleado, el cual está todavía bloqueado. Ahora, el administrador puede ejecutar acciones maliciosas en el sistema de cobros haciendo uso de la cuenta del empleado.

Además de aportar el vídeo que demuestra su punto de vista, el investigador ha llamado a este problema una “vulnerabilidad de alto riesgo”, aunque también muestra sus dudas sobre si se trata de una característica de Windows o bien un fallo serio.

La documentación de Microsoft explica lo que puede abarcar y las limitaciones de la herramienta de línea de comandos (CMD), la cual dice que tendría que fallar a la hora de introducir una contraseña incorrecta, siendo esto lo que cuestiona Korznikov. Por otro lado, se ha podido ejecutar el secuestro de cuenta con éxito en varias versiones soportadas de Windows (7, 10, Server 2008 y Server 2012 R2), pudiendo abarcar todas las actualmente mantenidas por Microsoft. Pese a todo, Korznikov no ha reportado esto a Microsoft.

“Todo administrador puede suplantar cualquier cuenta de usuario local, ya sea accediendo físicamente o bien mediante escritorio remoto”, explica el investigador. “Desafortunadamente, no se si hay algún tipo de parche y no se qué recomendaciones podría haber. Reportando esto a Microsoft tomará seis meses hasta que el problema sea resuelto, así que quiero avisar a todo el mundo sobre esto tan pronto como sea posible”, continuó.

Korznikov no es el único que ha reportado este aparente fallo de seguridad, ya que en 2011, un investigador francés llamado Benjamin Delpi reportó algo similar (pasado por Google Translate). Por su parte, un portavoz de Microsoft ha explicado que el presunto fallo “no es una vulnerabilidad de seguridad, ya que requiere permisos de un administrador local sobre la máquina.”

Fuente | ZDNet