El senador estadounidense Ron Wyden ha solicitado a la Comisión Federal de Comercio (FTC) que investigue a Microsoft debido a lo que denomina «negligencia grave en ciberseguridad». La denuncia se centra en el uso del sistema operativo Windows, donde se implementa un cifrado obsoleto que facilita ataques de ransomware contra infraestructuras críticas estadounidenses, incluyendo sistemas de salud.
La carta destaca la técnica de hacking conocida como «Kerberoasting», que explota el protocolo Kerberos y permite a los actores de amenazas robar tickets de servicio para descubrir contraseñas en texto plano. Esta vulnerabilidad se aprovecha del continuo apoyo de Microsoft a RC4, una tecnología de cifrado desarrollada en la década de 1980.
Existen estándares modernos y seguros como AES, pero Microsoft no los ha establecido como requisito predeterminado en su software Active Directory. Los ataques de Kerberoasting son difíciles de detectar porque se benefician del diseño previsto de Kerberos. La parte más sospechosa (descifrar tickets robados) ocurre fuera de línea.
Es importante señalar que si el AD sólo admite AES, el ataque sigue siendo posible (Kerberoasting es, en el fondo, un problema de contraseñas débiles), pero requiere más tiempo y coste computacional, lo que aumenta la dificultad y reduce la probabilidad de éxito para ataques a gran escala.
El ataque de ransomware a Ascension
La carta describe un ataque de ransomware ocurrido en 2024 contra Ascension, uno de los sistemas de salud sin fines de lucro más grandes de Estados Unidos. El incidente comenzó cuando un contratista hizo clic en un enlace malicioso de Bing, descargando malware sin darse cuenta.
Desde este punto de entrada, los atacantes se movieron por la red de Ascension y utilizaron Kerberoasting para explotar el débil cifrado RC4 en el servidor Active Directory. Esto les permitió obtener privilegios administrativos, implementar ransomware en miles de computadoras y robar datos confidenciales de 5,6 millones de pacientes.
El ataque interrumpió gravemente la capacidad de Ascension para brindar atención médica a los pacientes. En respuesta, Microsoft publicó una entrada de blog recomendando medidas de mitigación y prometiendo una futura actualización de software para desactivar el cifrado RC4 vulnerable.
Sin embargo, Wyden criticó la divulgación por inadecuada, señalando que se publicó en una sección poco visible sin publicidad significativa. Además, once meses después, la actualización prometida aún no se ha publicado, lo que deja a innumerables organizaciones vulnerables.
Referencias para mitigar el Kerberoasting
- NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations
- Microsoft’s guidance to help mitigate Kerberoasting
- Directory Hardening Series – Part 4 – Enforcing AES for Kerberos – Microsoft Community Hub
- Stopping Active Directory attacks and other post-exploitation behavior with AMSI and machine learning | Microsoft Security Blog
- Network security Configure encryption types allowed for Kerberos – Windows 10 | Microsoft Learn,
- Delegated Managed Service Accounts FAQ | Microsoft Learn