Vulnerabilidades de Microsoft Windows son explotadas tras la publicación de código por parte de un investigador

Según la firma de ciberseguridad Huntress, los hackers han irrumpido en al menos una organización durante las últimas dos semanas aprovechando tres fallas de seguridad de Windows. Las tres vulnerabilidades afectan al antivirus Windows Defender, fabricado por Microsoft, lo que permite a un hacker obtener acceso de alto nivel o de administrador a una computadora Windows afectada. El viernes, Huntress publicó en X que las fallas de seguridad que están siendo explotadas son:

• BlueHammer
• UnDefend
• RedSun

Al parecer, los hackers están explotando los errores utilizando código de explotación que un investigador de seguridad, conocido como Chaotic Eclipse, publicó en línea.

De las tres vulnerabilidades, Microsoft solo ha parcheado BlueHammer hasta el momento, dejando a UnDefend y RedSun sin parchear y expuestos. Chaotic Eclipse publicó el código para explotar las tres vulnerabilidades en su página de GitHub. El investigador aludió a un conflicto con Microsoft como la motivación detrás de la publicación del código. “No estaba faroleando a Microsoft y lo estoy haciendo de nuevo”, escribió Chaotic Eclipse, añadiendo un agradecimiento al liderazgo del Microsoft Security Response Center (MSRC), el equipo de la empresa que investiga ciberataques y gestiona los reportes de vulnerabilidades.

Esta situación representa un caso de full disclosure (divulgación completa), una práctica de la industria en la que los investigadores reportan fallas a los fabricantes de software para ayudarles a corregirlas antes de la divulgación pública. Cuando la comunicación entre los investigadores y los proveedores falla, los investigadores a veces publican código de prueba de concepto (proof-of-concept) capaz de abusar del error, que luego puede ser utilizado por hackers para realizar ataques.

La explotación de estas fallas sin parchear ha creado desafíos para los equipos de seguridad. John Hammond, investigador de Huntress, advirtió que la disponibilidad pública de estos exploits ha creado un tira y afloja entre los defensores y los ciberdelincuentes. Hammond señaló que, debido a que las herramientas están fácilmente disponibles y ya están convertidas en armas, los defensores deben competir contra sus adversarios, tratando frenéticamente de proteger los sistemas contra actores malintencionados que aprovechan rápidamente estos exploits como herramientas de ataque listas para usar.

Por qué importa

Este incidente ilustra la volatilidad del full disclosure cuando la comunicación entre investigadores y proveedores falla, convirtiendo errores sin parchear en amenazas inmediatas y convertidas en armas para las organizaciones.