Microsoft está reforzando la seguridad de Windows añadiendo una regla muy importante a su antivirus. Se está introduciendo una nueva regla ASR en Microsoft Defender.

LSASS

Antes de entrar en materia, hablemos de un método que los piratas informáticos pueden usar para robar la contraseña de Windows de un usuario.

¿Qué es LSASS?

Es posible que haya notado LSASS.exe en su Administrador de tareas, está relacionado con un proceso llamado Servicio de servidor de autoridad local. LSASS autentica a los usuarios que inician sesión en una computadora y está protegido por Credential Guard de Microsoft Defender. El problema es que Credential Guard no es compatible con todos los programas, por ejemplo, controladores de tarjetas inteligentes personalizados. Por lo tanto, no se implementa en todos los entornos.

Cuando un atacante ha violado la computadora de un usuario, puede acceder fácilmente al proceso LSASS a través de herramientas especiales como Mimikatz. El archivo resultante creado por la herramienta es un volcado de memoria que contiene las contraseñas y los nombres de usuario de los usuarios que iniciaron sesión en el sistema.

Las contraseñas se muestran en texto sin formato, lo que permite al atacante obtener acceso completo al sistema operativo. Y todo esto se puede hacer de forma remota, y Microsoft Defender no bloqueará el acceso porque LSASS es un proceso legítimo y su volcado de memoria no es dañino. Solo puede detectar programas que acceden maliciosamente al proceso, pero no puede evitar que se cree o transmita el volcado de memoria para robar las credenciales del usuario.

Eso es bastante aterrador, ¿no?

Microsoft Defender obtiene una regla de reducción de superficie de ataque

La solución a este problema de seguridad es bastante simple, proteger LSASS del acceso no autorizado y todo este lío se puede evitar, ¿verdad? Eso es precisamente lo que está haciendo la empresa de Redmond, al añadir una nueva regla llamada Attack Surface Reduction (ASR). Esta regla impedirá que los programas abran LSASS y, a su vez, también evitará que creen el volcado de memoria. Bloqueará el acceso a LSASS incluso si un programa que tiene derechos elevados, es decir, privilegios de administrador, intenta abrir el proceso.

Se pone mejor, según Microsoft documentaciónesta regla ASR estará habilitada de forma predeterminada, mientras que todas las demás reglas relacionadas permanecerán en su estado predeterminado «No configurado».

Microsoft Defender mejora en la prevención del robo de contraseñas de Windows

¿Es ASR una buena solución? Bueno, si eres Microsoft Defender, esto parece prometedor. Sin embargo, no es completamente infalible, pero lo es. Debemos recordar que el malware también evoluciona y se vuelve complejo año tras año.

Por otro lado, si está utilizando un antivirus de terceros en su computadora, la regla ASR está deshabilitada. Entonces, eso hace que el LSASS sea vulnerable nuevamente. computadora pitido informa que algunos investigadores de seguridad ya han pasado por alto la regla ASR, que explotaron las rutas de exclusión de Microsoft Defender. Las exclusiones se aplican a todas las reglas de ASR y, dado que este acceso LSASS se encuentra en la misma categoría, hace posible que los piratas eludan las restricciones. El informe menciona que los usuarios que se ejecutan en Windows Enterprise, Windows 10 Pro y Windows 11 Pro estarán protegidos por la nueva regla ASR.

Dicho esto, la nueva regla ASR ha sido bien recibida por los investigadores de seguridad, ya que hace que Windows sea un poco más seguro, y eso siempre es bienvenido, ya que dará como resultado menos contraseñas robadas.

En una nota al margen, Microsoft Defender Preview es un nuevo panel que le permite administrar la seguridad de sus dispositivos.

Por Deyanira