Microsoft confirmó la explotación de una vulnerabilidad zero-day identificada como CVE-2025-29824. La vulnerabilidad afecta al sistema Common Log File System (CLFS) en Windows.
Características técnicas de la vulnerabilidad
Los atacantes pueden obtener privilegios del nivel SYSTEM mediante técnicas de corrupción de memoria. El ataque se basa en una manipulación maliciosa del controlador de kernel CLFS.sys.
Se induce una corrupción de memoria para sobrescribir el token del proceso mediante la API RtlSetAllBits. Los atacantes asignan el valor 0xFFFFFFFF, lo cual habilita todos los privilegios del sistema, incluyendo SeDebugPrivilege.
Impacto y técnicas de explotación
Una vez obtenidos estos privilegios, los atacantes pueden inyectar código en procesos con integridad SYSTEM. Pueden ejecutar técnicas de credential harvesting como el volcado de memoria del proceso LSASS.
Posteriormente, despliegan ransomware que cifra archivos mediante extensiones aleatorias. La actividad maliciosa se identifica bajo el nombre Storm-2460.
Malware y distribución
- Utiliza el malware PipeMagic, un troyano modular basado en plugins operativo desde 2022.
- La distribución del malware se realiza mediante archivos MSBuild maliciosos que contienen cargas útiles cifradas.
- Las cargas útiles se recuperan mediante el abuso de certutil.exe desde dominios legítimos comprometidos.
Proceso de inyección y obtención de credenciales
El proceso dllhost.exe crea un archivo CLFS BLF con la ruta C:\ProgramData\SkyPDF\PDUDrv.blf. Una vez que la explotación es exitosa, se inyecta una carga útil en winlogon.exe.
Esto permite el volcado de memoria del proceso LSASS y la obtención de credenciales.
Vínculos con otras vulnerabilidades
PipeMagic ha sido vinculado previamente a explotaciones zero-day como CVE-2025-24983 (CVSS:3.x: 7.0). CVE-2025-24983 fue parcheada en marzo de 2025.
PipeMagic también ha sido vinculado a CVE-2023-28252 (CVSS:3.x: 7.8). CVE-2023-28252 fue explotado por el ransomware Nokoyawa en 2023.
Protección y mitigaciones
- La versión Windows 11 24H2 no es vulnerable debido a la restricción de acceso a NtQuerySystemInformation.
- Microsoft enfatiza que la explotación de vulnerabilidades de elevación de privilegios (EoP) es crítica para actores de ransomware.
Se recomienda aplicar parches de abril de 2025 para sistemas CLFS. Se recomienda monitorizar el uso anómalo de certutil.exe y MSBuild. Se recomienda restringir privilegios de depuración y auditoría de acceso a LSASS.