Investigadores han identificado una forma sencilla de eludir la directiva de grupo de Microsoft diseñada para desactivar NTLMv1. Esta vulnerabilidad se produce debido a una configuración incorrecta en aplicaciones locales, lo que permite seguir utilizando el protocolo NTLMv1 a pesar de las medidas implementadas.
NTLM: un protocolo antiguo pero aún presente
NTLM (NT LAN Manager) es un mecanismo de autenticación desarrollado por Microsoft en la década de 1990. Aunque ha sido reemplazado en gran medida por protocolos más seguros como Kerberos, NTLM sigue siendo utilizado en sistemas heredados debido a los requisitos de compatibilidad con versiones anteriores.
El problema: configuración incorrecta y persistencia de NTLMv1
La directiva de grupo de Microsoft está diseñada para bloquear el uso de NTLMv1 en todo el dominio. Sin embargo, investigadores han descubierto que es posible eludir esta política mediante una configuración inadecuada en aplicaciones locales. Esta vulnerabilidad permite a los atacantes seguir utilizando autenticaciones NTLMv1, lo cual representa un riesgo significativo para la seguridad de las organizaciones.
Impacto y riesgos
- Por qué es importante: El 64% de las cuentas de usuario de Active Directory se autentican regularmente con NTLM, a pesar de sus debilidades conocidas. Esta persistencia crea una falsa sensación de seguridad y deja a las organizaciones vulnerables.
- A quién afecta: Cualquier organización que use aplicaciones locales de terceros o de cosecha propia, así como aquellas que no usen estrictamente máquinas Windows. Por ejemplo, una computadora Mac conectada a una aplicación bancaria podría verse comprometida.
- Impacto en las organizaciones: Un atacante dentro de la red puede interceptar el tráfico NTLMv1 y descifrar las credenciales de los usuarios, lo que facilita el movimiento lateral y la escalada de privilegios.
Configuración incorrecta en aplicaciones locales
La investigación revela que es posible aprovechar una configuración del Protocolo remoto Netlogon (MS-NRPC) para permitir la autenticación NTLMv1, incluso cuando se ha establecido una política de grupo que lo bloquea. La estructura de datos NETLOGON_LOGON_IDENTITY_INFO contiene un campo denominado ParameterControl que permite esta configuración.
Recomendaciones y mitigaciones
Para reducir el riesgo asociado a NTLMv1, es fundamental habilitar los registros de auditoría para todas las autenticaciones NTLM en el dominio. Además, se debe estar atento a las aplicaciones vulnerables que soliciten la utilización de mensajes NTLMv1. Se recomienda mantener actualizados los sistemas operativos y las aplicaciones.
Contexto adicional
NTLM sigue siendo ampliamente utilizado en entornos Windows, aunque ha quedado obsoleto a mediados de 2024. Microsoft eliminó oficialmente NTLMv1 a partir de Windows 11 y Windows Server 2025. A pesar de las mejoras introducidas con NTLMv2, la tecnología sigue siendo vulnerable a ataques.