Resumen
Es una vulnerabilidad crítica de Escalación Local de Privilegios (EoP) en el controlador de kernel afd.sys (Ancillary Function Driver for WinSock), el componente encargada de gestionar los sockets de red en Windows. Fue detectada como un Zero-Day explotado activamente antes de su corrección oficial.
Contenido
El fallo reside en una gestión deficiente de la memoria (Use-After-Free / CWE-416) provocada por una condición de carrera.
- Gestión Concurrente: Ocurre cuando múltiples hilos de ejecución interactúan simultáneamente con la estructura interna de los sockets en el kernel.
- Uso de Memoria Liberada: Debido a una sincronización incorrecta, un hilo libera un bloque de memoria mientras otro hilo continúa intentando leer o escribir en él.
- Manipulación del Kernel: Un atacante con acceso local y bajos privilegios puede ejecutar una aplicación diseñada para ganar esta condición de carrera, corromper la memoria del kernel y ejecutar código malicioso directamente en el espacio de memoria más privilegiado del sistema operativo.
Impacto
- Control Total del Sistema: Permite a un usuario autenticado o a un proceso con privilegios mínimos (por ejemplo, malware inicial introducido por phishing) elevar sus permisos inmediatamente a NT AUTHORITY\SYSTEM.
- Evasión de Defensas (EDR/Antivirus): Al obtener ejecución en modo kernel, los atacantes despliegan rootkits (como FudModule) capaces de desactivar componentes EDR, deshabilitar telemetría de seguridad y manipular la memoria del sistema sin ser detectados.
- Superficie de Ataque Amplia: Afecta a prácticamente todas las versiones de soporte de Windows cliente (10, 11) y Windows Server (2016 en adelante).
Recomendaciones
- Aplicación Inmediata de Parches: Desplegar las actualizaciones acumulativas de seguridad publicadas a partir de agosto de 2024 (ej. KB5041580, KB5041585 o equivalentes según versión del SO).
- Reinicio Obligatorio: Dado que la vulnerabilidad reside en un controlador en uso por el kernel (afd.sys), la mitigación no surte efecto hasta que el sistema afectado sea completamente reiniciado.
- Detección y Búsqueda de Amenazas (Threat Hunting):
- Configurar reglas EDR para monitorear la creación inusual de procesos hijos con privilegios SYSTEM iniciados desde procesos de usuario no privilegiados (ej. cmd.exe, powershell.exe o aplicaciones de escritorio).
- Auditar la carga de controladores no firmados o firmas revocadas asociadas al uso de rootkits en modo kernel.