Vulnerabilidad en Windows permite robo de credenciales NTLM a través de archivos maliciosos

Una nueva vulnerabilidad en Windows pone en riesgo las credenciales NTLM, permitiendo el robo de datos sensibles a través de archivos maliciosos.

Una nueva vulnerabilidad ha sido descubierta en Windows, permitiendo a atacantes remotos robar credenciales NTLM al engañar a los usuarios para que abran archivos maliciosos en el Explorador de Windows. Esta falla afecta a todas las versiones de Windows desde Windows 7 hasta Windows 11, así como a servidores desde 2008 R2 hasta 2025.

El protocolo NTLM ha sido ampliamente explotado en ataques como el relay de NTLM y el pass-the-hash. En estos tipos de ataques, los actores de amenazas logran acceder a datos sensibles y se desplazan lateralmente en la red utilizando credenciales robadas. Cabe destacar que Microsoft anunció el año pasado que tiene planes para retirar el protocolo de autenticación NTLM en futuras versiones de Windows 11.

Los investigadores de ACROS Security identificaron esta nueva vulnerabilidad de divulgación de hashes NTLM relacionada con archivos SCF mientras desarrollaban parches para otro problema similar. Esta vulnerabilidad de día cero aún no ha sido asignada a un ID CVE específico.

Según Mitja Kolsek, CEO de ACROS Security, “la vulnerabilidad permite a un atacante obtener las credenciales NTLM del usuario al hacer que este visualice un archivo malicioso en el Explorador de Windows, por ejemplo, al abrir una carpeta compartida o un disco USB que contenga dicho archivo”.

Aunque la vulnerabilidad no se considera crítica, su explotabilidad depende de factores como si el atacante ya está dentro de la red de la víctima o tiene acceso a un servidor expuesto públicamente. ACROS Security ha reportado el problema a Microsoft y ha decidido no divulgar detalles adicionales para minimizar el riesgo de explotación maliciosa hasta que se libere un parche oficial.

Para mitigar esta vulnerabilidad, ACROS Security ofrece parches gratuitos y no oficiales a través de su servicio de micropatch llamado 0Patch, el cual estará disponible para todas las versiones afectadas de Windows hasta que Microsoft publique una solución oficial. Para instalar el micropatch en su PC con Windows, los usuarios deben crear una cuenta e instalar el agente de 0Patch, que aplicará automáticamente el micropatch sin necesidad de reiniciar el sistema.

En los últimos meses, 0Patch ha reportado otras tres vulnerabilidades de día cero que Microsoft ha parcheado o aún no ha abordado, manteniendo su compromiso de ofrecer soluciones rápidas y efectivas ante vulnerabilidades críticas en los sistemas operativos de Microsoft.