Los ojos del mundo de las tecnologías de la información se centran una vez más en la noticia de última hora sobre un nuevo exploit de día cero. En esta ocasión, afecta a la cola de impresión de Windows. Aunque gran parte de la cobertura mediática se ha centrado en la «comedia de errores» que provocó la publicación accidental del código de explotación, este incidente nos revela mucho más.
Los responsables de seguridad y los directores de TI deberían tomar nota. Conocer qué activos tiene y cuál es su estado es el primer paso para reducir la superficie de ataque, mejorar la resiliencia cibernética y agilizar la respuesta ante incidentes.
Vea esta breve demostración para descubrir cómo Tanium puede identificar y solucionar la vulnerabilidad PrintNightmare.
https://youtu.be/m8cP2HhT48w
Lo que ha sucedido hasta ahora
La historia comienza con el «Patch Tuesday» de junio de Microsoft, durante el cual la empresa publicó una corrección para lo que inicialmente se describió como una vulnerabilidad de grave gravedad relacionada con la elevación de privilegios en el gestor de colas de impresión de Windows: CVE-2021-1675.
Posteriormente, Microsoft reclasificó la vulnerabilidad como crítica tras descubrir que también podía permitir la ejecución remota de código (RCE). Una semana más tarde, el June 28, la empresa china de seguridad QiAnXin anunció que había desarrollado un exploit que permitía tanto la escalada de privilegios locales como la ejecución remota de código en el CVE-2021-1675, y publicó un vídeo en el que se mostraba su funcionamiento.
Lamentablemente, los investigadores de Sangfor Technologies, con sede en Shenzhen, interpretaron erróneamente esta noticia. Al suponer que el fallo era el mismo que una vulnerabilidad crítica que habían descubierto en el spooler de impresión, decidieron publicar su propio exploit de prueba de concepto —cuya presentación estaba prevista inicialmente para el Black Hat USA en agosto—. El razonamiento era sencillo: dado que Microsoft ya había corregido el fallo (o eso creían), ¿qué problema podía haber?
Probablemente descubriremos la respuesta a esa pregunta en los próximos días. Esta vulnerabilidad permite a un atacante remoto y autenticado ejecutar código con privilegios elevados en cualquier equipo que tenga habilitado el servicio de cola de impresión, incluidos los controladores de dominio. Esto podría tener consecuencias potencialmente graves. Dado lo que sabemos sobre los autores de amenazas, puede estar seguro de que el exploit está ahora en manos de quienes tienen la intención de utilizarlo contra cualquier sistema vulnerable.
Qué implica esto para su organización
Las recomendaciones para mitigar este incidente son bastante sencillas. Las organizaciones deben identificar todos los equipos en los que se esté ejecutando el servicio de cola de impresión, que tengan instalada la función de controlador de dominio, y, a continuación, desactivar dicho servicio en cualquier controlador de dominio que no lo necesite. Cuando haya un parche disponible, deberán aplicarlo a todos los dispositivos afectados lo antes posible.
Sin embargo, hay que tener en cuenta el panorama general. A menos que disponga de visibilidad sobre sus terminales, cargas de trabajo, configuraciones y el estado de las actualizaciones, se verá obligado a actuar constantemente a la defensiva. Por ejemplo, muchas organizaciones tienen servicios y aplicaciones, como el colmador de impresión, ejecutándose en infraestructuras críticas, donde simplemente no deberían estar.
A menudo, lo que ha ocurrido es que el departamento de TI ha intentado consolidar el número de servidores y máquinas virtuales de su parque informático, en lugar de ampliarlos horizontalmente con servicios dedicados independientes. Esto supone un menor número de dispositivos que mantener y una superficie de ataque más amplia, ya que su infraestructura crítica ejecuta ahora múltiples servicios que deberían estar segregados. Es posible que esos mismos equipos de TI no sean conscientes de su exposición al riesgo si no disponen de visibilidad sobre los dispositivos finales.
Esto puede dar lugar a múltiples problemas graves que deben solucionarse al mismo tiempo, lo que retrasa la respuesta ante las incidencias. Por decirlo de otra manera: el problema de correr a toda velocidad constantemente es que, sencillamente, no se puede ir más rápido. Por lo tanto, siempre se debe dar prioridad a una buena higiene cibernética . Aplicar los parches necesarios a esos terminales, reforzar la seguridad de esos sistemas, restringir el acceso a la red cuando sea necesario y garantizar el cumplimiento normativo.
Esa es la forma de reducir la superficie de ataque y minimizar las posibilidades de que otro incidente como PrintNightmare afecte a su organización.
Adoptar una actitud proactiva
Quienes no estudian la historia están condenados a repetirla. Aproveche, pues, esta oportunidad para revisar sus planes de acción e incorporar las lecciones aprendidas. Esto podría incluir comprobar:
- Para comprobar si sus normas de refuerzo cumplen con los requisitos. No es la primera vez que se producen problemas con la cola de impresión; por ejemplo,
- Sus procesos de incorporación, refuerzo de la seguridad y cumplimiento normativo continuo del sistema, con el fin de comprobar si se cumplen o no las normas de refuerzo de la seguridad
- En cuanto a los riesgos relacionados con terceros, bloquee mediante un cortafuegos cualquier activo de terceros presente en su organización al que no pueda acceder.
La buena noticia es que Tanium está diseñado para ayudarle a responder a las preguntas fundamentales sobre su parque de dispositivos finales. Con esa información, podrá adoptar medidas correctivas con rapidez y a gran escala.
Tan pronto como se tenga conocimiento de un problema, podrá averiguar cómo está configurado el entorno actual, prácticamente en tiempo real, y realizar los cambios oportunos. Todo ello en cuestión de minutos, en lugar de semanas. Tanium también puede señalar cuando se desvía de las mejores prácticas en materia de cumplimiento normativo.
Si no sabe qué equipos tiene, cómo están configurados y qué se ejecuta en ellos, no podrá protegerlos. Por lo tanto, una vez solucionado el problema de PrintNightmare, , compruebe su entorno mediante la evaluación de riesgos gratuita de Tanium:. Regístrese hoy mismo.
