Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2020-1472
Vulnerabilidad CVE-2020-1472
Escrito por: Monica Burgess
Publicado: 07/11/25
¿Qué es la vulnerabilidad CVE-2020-1472?
CVE-2020-1472, conocida popularmente como "Zerologon", es una vulnerabilidad crítica de elevación de privilegios que se encuentra en el protocolo remoto Netlogon de Microsoft Windows (MS-NRPC). Esta falla permite que un atacante no autenticado con acceso de red a un controlador de dominio comprometa por completo todos los servicios de identidad de Active Directory. En resumen, permite que un actor malicioso se convierta en administrador de dominio con una facilidad aterradora. Es como dejar la llave maestra de todo tu reino debajo del tapete.
¿Cuándo se descubrió?
La vulnerabilidad Zerologon fue descubierta por Tom Tervoort, de Secura, una empresa de seguridad neerlandesa. Se divulgó de manera responsable a Microsoft, y se lanzó un parche como parte del Patch Tuesday del 11 de agosto de 2020. La divulgación pública y los detalles técnicos que llamaron la atención llegaron en septiembre de 2020, lo que llevó a los equipos de TI de todas partes a apurarse para parchar sus controladores de dominio.
Productos y versiones afectados
Esta vulnerabilidad afecta a una amplia gama de versiones de Windows Server. Si usas alguno de los productos que se detallan a continuación, aplicar el parche no es opcional, es fundamental.
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
Windows Server 2008 R2 for x64-based Systems (Service Pack 1) | Standard, Empresarial, Datacenter | 11 de agosto de 2020, actualización de seguridad (KB4571729) |
Windows Server 2012 | Standard, Essentials, Datacenter | 11 de agosto de 2020, actualización de seguridad (KB4571723) |
Windows Server 2012 R2 | Standard, Essentials, Datacenter | 11 de agosto de 2020, actualización de seguridad (KB4571703) |
Windows Server 2016 | Standard, Essentials, Datacenter | 11 de agosto de 2020, actualización de seguridad (KB4571694) |
Windows Server 2019 | Standard, Datacenter | 11 de agosto de 2020, actualización de seguridad (KB4565349) |
Windows Server, version 1903 (Server Core installation) | Todas las ediciones | 11 de agosto de 2020, actualización de seguridad (KB4565351) |
Windows Server, version 1909 (Server Core installation) | Todas las ediciones | 11 de agosto de 2020, actualización de seguridad (KB4565351) |
Windows Server, version 2004 (Server Core installation) | Todas las ediciones | 11 de agosto de 2020, actualización de seguridad (KB4565351) |
Descripción técnica de CVE-2020-1472
Entremos en detalle. La vulnerabilidad CVE-2020-1472 existe debido a una falla en el esquema de autenticación criptográfica usado por el protocolo Netlogon Remote Protocol. Este protocolo autentica usuarios y máquinas en una red basada en dominios. En específico, el problema radica en el modo de cifrado AES-CFB8 usado durante el proceso de autenticación de Netlogon.
Un atacante puede explotar esto enviando varios mensajes de Netlogon donde los campos de credenciales del cliente están llenos de ceros. Debido a la falla criptográfica, existe 1 probabilidad entre 256 de que este texto plano de puros ceros se cifre como un texto cifrado de puros ceros. Al intentar esto repetidamente (lo cual toma solo unos segundos), un atacante puede suplantar con éxito la identidad de cualquier computadora en la red, incluido el controlador de dominio mismo. Una vez autenticado como el controlador de dominio, el atacante puede restablecer la contraseña de la cuenta de máquina del controlador de dominio en Active Directory a un valor conocido, tomando efectivamente el control del dominio.
Tácticas, técnicas y procedimientos (TTPs)
Los actores de amenazas que explotan Zerologon suelen seguir un camino claro. Primero, obtienen acceso inicial a la red interna. A partir de ahí, identifican un controlador de dominio vulnerable. El núcleo del ataque consiste en enviar solicitudes de autenticación de Netlogon especialmente diseñadas al DC. Después de unos miles de intentos, dan en el blanco, suplantan la identidad del DC y restablecen su contraseña. Con la nueva contraseña, pueden extraer todas las credenciales del dominio (hola, NTDS.dit), crear nuevas cuentas de administrador de dominio e implementar ransomware o exfiltrar datos. Es una toma hostil en toda regla.
Indicadores de vulneración
Detectar un exploit de CVE-2020-1472 requiere vigilar de cerca tus registros. Los indicadores de vulneración (IOC) clave incluyen un repunte repentino en el tráfico de autenticación de Netlogon desde una sola fuente hacia un controlador de dominio. También debes monitorear el Event ID 4742, que indica que se cambió la contraseña de una cuenta de computadora, en especial si se trata de la cuenta propia del controlador de dominio. Los restablecimientos de contraseña inexplicables o la creación de nuevas cuentas con privilegios altos son señales de alerta importantes.
Pruebas de concepto y exploits conocidos
No pasó mucho tiempo antes de que investigadores de seguridad y, por desgracia, actores de amenazas, desarrollaran y publicaran scripts de exploit de prueba de concepto (PoC) para Zerologon. Varios PoC se hicieron públicos en plataformas como GitHub poco después de que se publicaran los detalles técnicos. Estos scripts automatizaron todo el proceso de ataque, haciéndolo trivial de ejecutar incluso para atacantes con pocas habilidades. Grupos de ransomware, como Ryuk y Egregor, rápidamente convirtieron estos exploits en armas, incorporándolos a sus cadenas de ataque para obtener control total del dominio e implementar sus cargas maliciosas.
Cómo detectar la vulnerabilidad CVE-2020-1472
La detección depende de una combinación de escaneo proactivo y monitoreo activo. Puedes usar escáneres de vulnerabilidades para identificar controladores de dominio sin parchear en tu red. Para la detección basada en endpoints, monitorea los registros de eventos de Windows en busca de señales de un ataque. En específico, busca el Event ID 4624 (inicio de sesión exitoso) desde una fuente anómala, seguido de inmediato por el Event ID 4742 (se cambió una cuenta de computadora) para el controlador de dominio. Las soluciones SIEM se pueden configurar con reglas para correlacionar estos eventos y activar alertas. Una consulta que busque el código de error de Netlogon 0xc0000022 (STATUS_ACCESS_DENIED) seguido de un inicio de sesión exitoso desde la misma fuente también puede indicar un intento de exploit.
Impacto y riesgo de la vulnerabilidad CVE-2020-1472
El impacto de un exploit exitoso de Zerologon es prácticamente lo peor que puede pasar. Es un compromiso total. Un atacante puede elevar sus privilegios a administrador de dominio, el nivel más alto de autoridad en un dominio de Windows. Esto le da control total sobre toda la infraestructura de red. Puede implementar ransomware en todos los sistemas, robar datos confidenciales, eliminar copias de seguridad y crear puertas traseras persistentes. Para una empresa, esto significa una interrupción operativa catastrófica, pérdidas financieras masivas y un daño severo a la reputación. La puntuación CVSS de 10.0 (crítica) no es una exageración.
Estrategias de mitigación y remediación
Si aún no has aplicado este parche, deja todo y hazlo ahora. En serio.
Aplica el parche de inmediato: La mitigación principal es aplicar las actualizaciones de seguridad publicadas por Microsoft en agosto de 2020 y los parches de la fase de aplicación posterior de febrero de 2021. Esta es la forma más eficaz de cerrar la puerta a esta vulnerabilidad.
Activa la aplicación completa de Secure RPC: Los parches se lanzaron en dos fases. El parche inicial introdujo nuevos registros de eventos para identificar dispositivos no conformes. La segunda fase, que comenzó el 9 de febrero de 2021, activó el modo de aplicación completa, que bloquea las conexiones vulnerables de dispositivos no conformes. Asegúrate de que tus controladores de dominio estén en modo de aplicación.
Supervisa tus registros: Vigila de cerca los registros de eventos de tus controladores de dominio. Herramientas como una solución robusta de Detección y respuesta para endpoints (EDR) pueden ayudar a automatizar la detección de actividad sospechosa relacionada con fallas de autenticación de Netlogon y restablecimientos de contraseñas.
Segmentación de redes: Como buena práctica general, limita qué dispositivos pueden comunicarse con tus controladores de dominio. Una segmentación de redes adecuada puede evitar que un atacante que haya logrado un punto de apoyo persistente en una estación de trabajo pueda llegar a un controlador de dominio e intentar el exploit.
Preguntas frecuentes sobre la vulnerabilidad CVE-2020-1472
CVE-2020-1472, o Zerologon, es una vulnerabilidad crítica en el protocolo Netlogon de Windows. Permite que un atacante en la red local tome el control de un controlador de dominio enviando una serie de solicitudes de inicio de sesión especialmente diseñadas y llenas de ceros. Una falla en la criptografía del protocolo le permite al atacante restablecer la contraseña del controlador de dominio y obtener control administrativo total sobre el dominio.
Zerologon no es un virus que infecta sistemas en el sentido tradicional; es un exploit contra un servicio de red. Un atacante que ya está en la red usa un script para atacar a un controlador de dominio vulnerable. Una vez que el exploit tiene éxito, el atacante obtiene el control y puede entonces implementar malware, como ransomware, en toda la red comprometida.
Totalmente. Aunque los parches han estado disponibles durante años, los sistemas sin parchear siguen siendo un riesgo enorme. Cualquier organización que no haya aplicado las actualizaciones de Windows necesarias en sus controladores de dominio sigue completamente expuesta a un ataque de Zerologon. Los atacantes buscan activamente este tipo de oportunidades fáciles.
El paso número uno es aplicar las actualizaciones de seguridad que Microsoft lanzó en agosto de 2020 y febrero de 2021. Más allá de la aplicación de parches, las organizaciones deben asegurarse de que sus controladores de dominio estén en modo de aplicación forzosa para bloquear conexiones vulnerables y usar herramientas de monitoreo para detectar actividad sospechosa de Netlogon. Implementar una segmentación de redes sólida también añade una capa de defensa crucial.
