Un investigador de seguridad, Alon Leviev, reveló un método para realizar ataques de downdate, que permite a los atacantes reemplazar componentes actualizados de sistemas operativos Windows con versiones anteriores. Este tipo de ataque puede exponer máquinas completamente parcheadas a vulnerabilidades ya corregidas, lo cual pone en riesgo la seguridad del sistema.
El método y su impacto
Leviev presentó una herramienta llamada Windows Downdate, que permite crear degradaciones personalizadas. Esta herramienta expone a sistemas actualizados a componentes obsoletos, como DLL, controladores y el kernel NT. El investigador demostró cómo un atacante con privilegios de administrador puede aprovechar el proceso de actualización para eludir las protecciones DSE (Driver Signature Enforcement), lo que permite la instalación de rootkits que pueden deshabilitar controles de seguridad y ocultar actividades maliciosas.
El ataque se lleva a cabo reemplazando el archivo «ci.dll», responsable de hacer cumplir DSE, con una versión sin parches que ignora las firmas de los controladores. Una vez que el componente se degrada a una versión vulnerable, la máquina debe reiniciarse, como durante un proceso de actualización legítimo.
El ataque y sus posibles vías
Leviev también describe métodos para deshabilitar o eludir la seguridad basada en virtualización (VBS) de Microsoft. Esta protección crea un entorno aislado para que Windows proteja recursos esenciales, como el mecanismo seguro de integridad del código del núcleo (skci.dll) y las credenciales de usuario autenticado.
VBS generalmente se basa en protecciones como bloqueos UEFI y configuraciones de registro para evitar cambios no autorizados. Sin embargo, si no se configura con máxima seguridad (indicador «mandatory»), se puede deshabilitar realizando una modificación específica de clave de registro.
Cuando están parcialmente habilitados, los archivos clave de VBS, como «SecureKernel.exe», pueden reemplazarse con versiones corruptas que interrumpen el funcionamiento de VBS y abren el camino para omitir «ItsNotASecurityBoundary» y reemplazar «ci.dll».
Respuesta de Microsoft
Mientras que las vulnerabilidades explotadas para el ataque de degradación se presentaron en BlackHat y DEFCON (CVE-2024-21302 y CVE-2024-38202), Microsoft aún tiene que abordar el problema Windows Update. El investigador señala que el reemplazo de Windows Update no ha sido parcheada, ya que no cruzó un límite de seguridad definido.
Un portavoz de Microsoft mencionó que la compañía está «desarrollando activamente mitigaciones para protegerse contra estos riesgos». Sin embargo, el proceso implica «una investigación exhaustiva, desarrollo de actualizaciones en todas las versiones afectadas y pruebas de compatibilidad» para garantizar que los clientes estén protegidos y se minimicen las interrupciones operativas.
La compañía está desarrollando una actualización de seguridad que mitiga el problema al revocar archivos del sistema VBS obsoletos y sin parches. No está claro cuándo estará disponible la actualización, ya que el problema es complejo y requiere pruebas exhaustivas para evitar fallas o regresiones en la integración.