Investigadores de ciberseguridad han descubierto un caso de “autenticaci\u00f3n forzada” que podr\u00eda explotarse para filtrar los tokens NT LAN Manager (NTLM) de un usuario de Windows enga\u00f1ando a la v\u00edctima para que abra un archivo Microsoft Access especialmente dise\u00f1ado.<\/p>\n
El ataque aprovecha una caracter\u00edstica leg\u00edtima de la soluci\u00f3n del sistema de gesti\u00f3n de bases de datos que permite a los usuarios enlace a fuentes de datos externas<\/a>como una tabla remota de SQL Server.<\/p>\n “Los atacantes pueden abusar de esta caracter\u00edstica para filtrar autom\u00e1ticamente los tokens NTLM del usuario de Windows a cualquier servidor controlado por el atacante, a trav\u00e9s de cualquier puerto TCP, como el puerto 80”, dijo el investigador de seguridad de Check Point, Haifei Li. dicho<\/a>. “El ataque puede iniciarse siempre que la v\u00edctima abra un archivo .accdb o .mdb. De hecho, cualquier tipo de archivo de Office m\u00e1s com\u00fan (como un .rtf) tambi\u00e9n puede funcionar”.<\/p>\n NTLM, un protocolo de autenticaci\u00f3n introducido por Microsoft en 1993, es un protocolo de desaf\u00edo-respuesta que se utiliza para autenticar a los usuarios durante el inicio de sesi\u00f3n. A lo largo de los a\u00f1os, se ha descubierto que es vulnerable a ataques de fuerza bruta, pase de hash y retransmisi\u00f3n.<\/p>\n El \u00faltimo ataque, en pocas palabras, abusa de la funci\u00f3n de tabla vinculada en Access para filtrar los hashes NTLM a un servidor controlado por un actor al incrustar un archivo .accdb con un v\u00ednculo remoto de base de datos de SQL Server dentro de un documento de MS Word utilizando un mecanismo llamado Objeto. Vinculaci\u00f3n e incrustaci\u00f3n (VIEJO<\/a>).<\/p>\n “Un atacante puede configurar un servidor que controle, escuchando en el puerto 80, y poner su direcci\u00f3n IP en el campo ‘alias de servidor’ de arriba”, explic\u00f3 Li. “Luego pueden enviar el archivo de la base de datos, incluida la tabla vinculada, a la v\u00edctima”.<\/p>\n Si la v\u00edctima abre el archivo y hace clic en la tabla vinculada, el cliente v\u00edctima se pone en contacto con el servidor controlado por el atacante para autenticarse, lo que le permite a este \u00faltimo realizar un ataque de retransmisi\u00f3n iniciando un proceso de autenticaci\u00f3n con un servidor NTLM objetivo en la misma organizaci\u00f3n.<\/p>\n Luego, el servidor fraudulento recibe el desaf\u00edo, lo pasa a la v\u00edctima como parte del proceso de autenticaci\u00f3n y obtiene una respuesta v\u00e1lida, que finalmente se transmite al servidor NTLM.<\/p>\n Si bien desde entonces Microsoft ha publicado mitigaciones para el problema en la versi\u00f3n de Office\/Access (Canal actual, versi\u00f3n 2306, compilaci\u00f3n 16529.20182) luego de la divulgaci\u00f3n responsable en enero de 2023, 0patch ha liberado<\/a> Correcciones no oficiales para Office 2010, Office 2013, Office 2016, Office 2019 y Office 365.<\/p>\n El desarrollo tambi\u00e9n se produce cuando Microsoft anunci\u00f3 planes para descontinuar NTLM en Windows 11 en favor de Kerberos para mejorar la seguridad.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/Los-piratas-informaticos-pueden-aprovechar-la-autenticacion-forzada-para-robar.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n