Yuval Gordon, investigador de Akamai, ha descubierto una técnica avanzada de escalamiento de privilegios en entornos Windows Server 2025 conocida como BadSuccessor. Esta técnica depende de una nueva funcionalidad legítima: las Cuentas de Servicio Administradas Delegadas (dMSA).
¿Qué son las dMSA?
Las Delegated Managed Service Accounts (dMSA) fueron introducidas en Windows Server 2025 como una mejora sobre las Managed Service Accounts (MSA) y Group Managed Service Accounts (gMSA). Su objetivo es permitir una gestión centralizada, segura y delegada de cuentas de servicio, incluyendo:
- Rotación automática de contraseñas.
- Restricción por máquina (sólo equipos autorizados pueden usarla).
- Delegación de control para facilitar la administración sin comprometer el principio de privilegios mínimos.
Sin embargo, es precisamente esta capacidad de delegación la que abre la puerta a BadSuccessor.
La idea detrás de BadSuccessor
BadSuccessor se basa en el abuso de la funcionalidad que permite delegar la gestión de una dMSA. Mediante esta característica, es posible que una entidad (usuario o grupo) administre otra cuenta de servicio sin necesidad de privilegios directos de dominio.
El problema aparece cuando:
- Una cuenta de bajo privilegio es delegada para gestionar una dMSA privilegiada (por ejemplo, usada por un servicio con permisos elevados).
- Esta cuenta crea una nueva dMSA "sucesora" que se declara como reemplazo de la dMSA original.
- Active Directory acepta al sucesor como legítimo, permitiéndole heredar privilegios y usos de la cuenta original.
Este flujo puede usarse para escalar privilegios dentro del dominio sin explotar vulnerabilidades, sino simplemente configuraciones laxas de delegación.
Mitigación de BadSuccessor
Microsoft ha reconocido el problema, pero aún no ha publicado un parche. La mitigación recomendada incluye:
- Contención inmediata
- Restringir permisos de CreateChild sobre las OUs.
- Auditar permisos sobre msDS-DelegatedManagedServiceAccount y evitar que usuarios no privilegiados creen dMSAs.
- Bloquear o monitorear el uso de Start-ADServiceAccountMigration.
Auditoría y detección
- Auditar la creación de dMSA: configurar una SACL para registrar la creación de nuevos objetos msDS-DelegatedManagedServiceAccount (Event ID 5137)
- Supervisar modificaciones de atributos: configurar una SACL para modificaciones en el atributo msDS-ManagedAccountPrecededByLink (Event ID 5136)
- Seguimiento de la autenticación de dMSA: cuando se genera un TGT para un dMSA e incluye la estructura KERB-DMSA-KEY-PACKAGE, el controlador de dominio registra el siguiente evento (Event ID 2946)
Mitigaciones recomendadas
- Auditar la delegación de control en cuentas de servicio: ninguna cuenta de bajo privilegio debería tener permisos sobre cuentas usadas por servicios críticos.
- Revisar el uso de sucesores en configuraciones de dMSA: documentar qué cuentas pueden sustituir a otras.
- Limitar la creación de nuevas dMSA a roles administrativos específicos y supervisados.
- Supervisar cambios en objetos dMSA mediante logging y SIEM.
Fuente: TARLogic | HackPlayers