Protección de las vulnerabilidades de los puntos finales con EPM para poner fin a la pesadilla de impresión

En julio de 2021, la prensa internacional se hizo eco de la aparición de una nueva gran vulnerabilidad de Microsoft que afectaba a millones de usuarios en todo el mundo. Esta vulnerabilidad de ejecución remota de código en el administrador de impresión de Windows (CVE-2021-34527 & CVE-2021-36958) permitía que los usuarios instalaran controladores de impresora al elevar los privilegios de los usuarios locales. Aunque, en general, los usuarios piensen que esto les puede facilitar su día a día, lo cierto es que esta elevación de privilegios deja expuesto al sistema ante posibles ciberataques. Por ejemplo, aprovechando los privilegios de administrador, un atacante podría explotar fácilmente esta laguna jurídica para instalar malware, robar o cifrar datos, alterar sistemas críticos y, en pocas palabras, sembrar el pánico en las infraestructuras de IT.

La aparición de una gran amenaza para la ciberseguridad a nivel mundial en todos los dispositivos con Windows 10 es justamente lo que inquieta a los administradores de IT y no les deja pegar ojo. El caso es que, una vez que Microsoft descubrió esta vulnerabilidad, la empresa tomó medidas para solventarla, pero, aun así, le llevó varios intentos antes de que fuera capaz de poner un parche a una de las dos vulnerabilidades que se identificaron. A día de hoy Microsoft todavía no ha puesto un parche a la segunda vulnerabilidad.

¿Y si estas vulnerabilidades no existieran? ¿Y si simplemente hubiera una forma de defender los endpoints y la infraestructura de IT de vulnerabilidades, independientemente de la rapidez con la que se descubrieran y de los parches que se desarrollaran?

La hay… pero primero examinemos qué es lo que ocurrió exactamente con PrintNightmare.

¿Qué es la vulnerabilidad de PrintNightmare?

Existen dos vulnerabilidades que los expertos en este sector han analizado detenidamente:

• Escalada de privilegios (CVE-2021-1675)
• Remote Code Execution (RCE), que permite una inyección remota de DLL (CVE-2021-34527)

Si no fuera suficiente con la vulnerabilidad de principios de verano, el 11 de agosto de 2021 se anunció una nueva en Windows Print Spooler (CVE-2021-36958), la cual también permite que un atacante gane privilegios de SISTEMA y ejecute códigos aleatorios.

Al tener un punto de entrada tan sencillo a los privilegios elevados, un atacante puede ejecutar código aleatorio con privilegios de SISTEMA si explota dicha vulnerabilidad correctamente. Por consiguiente, dicho atacante podría llegar incluso a instalar programas o crear nuevas cuentas.

Como el desarrollo de un parche que sirva para remediar una vulnerabilidad concreta suele llevar tiempo, tal y como ocurre con CVE-2021-36958, es imprescindible que las organizaciones impidan este tipo de exploits de forma rápida y eficaz para evitar que el malware u otras actividades maliciosas causen estragos en los sistemas corporativos.

¿Por qué la instalación de controlares es literalmente una pesadilla o un «Print Nightmare»?

El Print Spooler de Windows está habilitado por defecto en todos los sistemas basados en Windows, lo que significa que cada máquina de Windows 10 que exista podría sufrir un exploit. Esto afecta sobre todo a los controladores de dominio (DC, por sus siglas en inglés) y a cualquier otro sistema ejecutado con privilegios administrativos de sistema. Es más, esta vulnerabilidad también amenaza a los usuarios de los sistemas debido a que normalmente a los usuarios normales se les solicita instalar controladores de impresora en sus puestos de trabajo y eliminar esta capacidad podría afectar negativamente a su productividad diaria.

No obstante, a medida que un atacante explota la vulnerabilidad Windows Print Spooler y después gana privilegios elevados de SISTEMA, esta se vuelve peligrosa, incluso aunque el usuario no tenga dichos derechos elevados en el sistema. Por consiguiente, un atacante puede instalar cualquier programa, visualizar, eliminar o cambiar datos, o hasta crear nuevas cuentas de usuario.

Cómo evitar el ataque PrintNightmare

La ciberseguridad es una tarea compleja para cualquier departamento de IT, ya que el objetivo de proteger a los activos de IT puede entrar en conflicto con las necesidades del negocio, de eficacia y de simplificación de flujos de trabajo. Cuando definimos y monitoreamos actividades autorizadas, con frecuencia resulta bastante difícil diferenciar comportamientos maliciosos de comportamientos considerados como «normales», como lo es instalar un controlador de impresoras.

Los especialistas en seguridad tienen que encontrar un equilibrio entre el bloqueo de los accesos a las infraestructuras de IT y la productividad de los usuarios. ¿Qué opciones existen para que evitemos, o al menos mitiguemos, los riesgos al mismo tiempo que fomentamos que los usuarios instalen controladores de impresora?

Una posibilidad es configurar las soluciones recomendadas por Microsoft y la comunidad de seguridad:

• Desactivar el Windows Print Spooler de todos los sistemas (críticos)
• Modificar el Registro de Windows, según se detalla en los siguientes enlaces
• Restringir la instalación de nuevos controladores de impresora tras la aplicación de las actualizaciones del 6 de julio de 2021

Otra opción es olvidarse de las soluciones provisionales y gestionar directamente los privilegios en los sistemas Windows. Esto puede neutralizar los efectos de la vulnerabilidad, independientemente de que se haya identificado, parcheado o resuelto el problema. Al gestionar los privilegios de los endpoints, los administradores de IT no tienen que esperar a que Microsoft encuentre un parche que funcione: los privilegios elevados están protegidos y únicamente se permiten los procesos autorizados. Otro aspecto importante es que sigue permitiendo el uso legítimo de los recursos del sistema informático como la impresión.

Protección de Windows con el Endpoint Privilege Management (EPM)

Como ocurre con la mayoría de las vulnerabilidades, la velocidad es fundamental. Podría haber un exploit de día cero ya desarrollado y dirigido a las vulnerabilidades (como PrintNightmare). Sin necesidad de buscar patrones, una solución de gestión de privilegios en los endpoints (EPM)  permite a los administradores de IT definir reglas que detengan un ataque antes de que este llegue a la fase de explotación. Con una solución de EPM podemos considerar nuevos vectores de ataque en lugar de tener que identificar cualquier patrón de malware, así como adaptar la estrategia de EPM en consecuencia.

Protéjase de las vulnerabilidades, estén o no parcheadas.

Una solución de EPM adecuada permite a los analistas de seguridad actuar rápidamente ante cualquier vulnerabilidad. Se trata de un mecanismo de defensa proactivo que puede aplicarse tanto a vulnerabilidades conocidas como a desconocidas para proteger del malware, ransomware y otros ataques la infraestructura informática de las empresas

WALLIX BestSafe EPM cubre los elementos básicos de todo sistema que gestiona los privilegios de los procesos, de las aplicaciones, de los usuarios e incluso de los grupos de usuarios. Esto significa que los analistas de seguridad no tienen por qué saber que existe una vulnerabilidad (¡aunque esto ayuda!) o incluso conocer las técnicas o el malware que un atacante utiliza para defenderse de ella.

En el caso de PrintNightmare, por ejemplo, no es necesario seguir las soluciones recomendadas, como deshabilitar el servicio Print Spooler de Windows. WALLIX BestSafe puede controlar el Windows Spool Service de manera que cualquier proceso hijo privilegiado que se genere a partir de este servicio se bloquee, o para evitar que los controladores se escriban en el disco, impidiendo así la ejecución, ya que esta es una parte necesaria del proceso.

No hay necesidad de realizar ninguna otra acción manual o de aplicar GPOs que podrían tener efectos secundarios no deseados. Los usuarios pueden seguir añadiendo una nueva impresora sin que sus privilegios elevados queden expuestos. Y en cuanto a la velocidad, todos los sistemas que ejecutan el agente WALLIX EPM pueden protegerse en un plazo muy breve, simplemente el tiempo que se tarde en introducir la nueva regla en estos sistemas. De esta forma ya no hay que esperar a que se publique un parche que podría tardar meses en desarrollarse e incluso podría tener efectos secundarios negativos.

Usted y su equipo ya pueden dormir tranquilos con la gestión de privilegios de los endpoints. Con WALLIX BestSafe se acabaron las pesadillas.

Si desea obtener más información acerca de esta solución de gestión y protección de los endpoints, no dude en ponerse en contacto con nuestro equipo de expertos.