Un investigador de seguridad conocido como Nightmare Eclipse ha publicado un exploit zero-day llamado LegacyHive que permite a atacantes escalar privilegios en sistemas Windows actualizados, otorgándoles acceso administrativo.
Por qué importa: LegacyHive explota una vulnerabilidad en el servicio de perfiles de usuario de Windows, lo que puede facilitar la ejecución automática de código malicioso con privilegios elevados.
Lo esencial
- LegacyHive aprovecha una falla en el servicio User Profile Service de Windows sin CVE asignado aún.
- El exploit requiere credenciales adicionales, dificultando su uso masivo, pero permite modificar el registro de clases del usuario.
- Expertos en ciberseguridad ya desarrollaron detecciones para Microsoft Defender for Endpoint tras la publicación del PoC.
Detalles técnicos del exploit LegacyHive
LegacyHive manipula el registro de clases del usuario (usrclass.dat) para montar el hive de un usuario objetivo en la raíz de clases del usuario actual. Esto permite que un usuario sin privilegios modifique configuraciones que se ejecutan automáticamente al iniciar sesión un administrador, logrando así la ejecución de código con privilegios elevados.
El exploit publicado fue modificado para requerir credenciales de otro usuario estándar y un tercer nombre de usuario, que puede ser administrador, lo que limita su explotación directa. La versión original no tenía estas restricciones y podía cargar cualquier hive, pero fue restringida para evitar un uso malicioso masivo.