PrintNightmare sigue vivo gracias a los atacantes de ransomware
JARIRIYAWAT / Shutterstock.com
A pesar de los numerosos intentos de Microsoft de parchear con éxito PrintNightmare, todavía no ha terminado. Ahora, se ha descubierto otra vulnerabilidad de Windows 10 PrintNightmare Print Spooler, y está atrayendo a los atacantes de ransomware que buscan un fácil acceso a los privilegios del sistema.
Microsoft lanzó varios parches durante julio y agosto para abordar la vulnerabilidad y ajustó el proceso mediante el cual los usuarios pueden instalar nuevos controladores de impresora. Sin embargo, los investigadores aún encontraron una solución para lanzar un ataque a través de una vulnerabilidad de Print Spooler más reciente, denominada CVE-2021-36958.
Desde una publicación en el Centro de respuestas de seguridad de Microsoft, Microsoft describe la vulnerabilidad: “Existe una vulnerabilidad de ejecución remota de código cuando el servicio Windows Print Spooler realiza incorrectamente operaciones de archivos privilegiados. Un atacante que explotara con éxito esta vulnerabilidad podría ejecutar código arbitrario con privilegios de SISTEMA. Un atacante podría entonces instalar programas; ver, cambiar o eliminar datos; o cree nuevas cuentas con todos los derechos de usuario".
Microsoft también enumera la solución alternativa para la vulnerabilidad como "detener y deshabilitar el servicio Print Spooler". El atacante necesitará privilegios de administrador para instalar los controladores de impresora necesarios; sin embargo, si ya hay un controlador instalado, tales privilegios no son necesarios para conectar una impresora. Además, no es necesario instalar los controladores en los clientes, por lo que la vulnerabilidad sigue siendo vulnerable en cualquier instancia en la que un usuario se conecte a una impresora remota.
Los atacantes de ransomware, naturalmente, se están aprovechando al máximo de las vulnerabilidades, según Bleeping Computer. CrowdStrike informó recientemente que Magniber, un grupo de ransomware, fue descubierto en un intento de explotar las vulnerabilidades sin parches contra las víctimas de Corea del Sur.
Todavía no se sabe nada, ni de Microsoft ni de ningún otro lado, con respecto a si la vulnerabilidad de PrintNightmare está disponible. De hecho, CrowdStrike estima que "la vulnerabilidad de PrintNightmare junto con el despliegue de ransomware probablemente seguirá siendo explotada por otros actores de amenazas".
a través de Windows Central