¿Qué es la vulnerabilidad CVE-2023-36025?

CVE-2023-36025 es una falla en la forma en que Windows Defender SmartScreen procesa archivos de acceso directo a internet específicos (.URL).

Normalmente, SmartScreen analiza los archivos descargados de la web ("Mark of the Web") y advierte al usuario si el archivo es potencialmente peligroso. Al explotar esta vulnerabilidad, un atacante puede crear un archivo .URL especialmente diseñado que evade por completo estas verificaciones.

Está clasificada como alta (CVSS 8.8) porque permite la ejecución silenciosa de payloads maliciosos sin que el usuario reciba las advertencias esperadas.

¿Cuándo se descubrió?

La vulnerabilidad se divulgó públicamente y Microsoft la parchó el 14 de noviembre de 2023 (Patch Tuesday). Al momento del lanzamiento, Microsoft confirmó que ya se estaba explotando activamente como zero-day.

Productos y versiones afectados

La vulnerabilidad afecta a una amplia gama de sistemas operativos Windows. Si tienes una versión sin parchar de cualquiera de los siguientes, estás en riesgo:

Descripción técnica de CVE-2023-36025

El problema principal radica en cómo Windows analiza los archivos de acceso directo a internet (.URL) que apuntan a recursos compartidos de archivos remotos.

Los atacantes crean un archivo .URL que apunta a un ejecutable malicioso alojado en un recurso compartido de red remoto (usando una ruta UNC, por ejemplo, \\attacker-ip\share\malware.exe).

Debido a una validación incorrecta de parámetros, cuando un usuario hace clic en este acceso directo específico, Windows no activa el análisis de SmartScreen. En lugar de ver una advertencia de "Windows protegió tu PC", el sistema sigue el acceso directo ciegamente y ejecuta el payload de destino.

Tácticas, técnicas y procedimientos (TTPs)

Los atacantes están usando activamente esta vulnerabilidad para distribuir InfoStealers y troyanos de acceso remoto (RATs).

• Entrega: El exploit a menudo se entrega mediante correos de phishing que contienen un archivo adjunto ZIP, o mediante enlaces en Discord y sitios para compartir archivos.

• Ejecución: El archivo ZIP contiene un archivo .URL diseñado. Cuando el usuario le hace doble clic, se activa la vulnerabilidad, y el payload se obtiene de un recurso compartido WebDAV o SMB controlado por el atacante.

• Payloads: Esta técnica ha sido muy utilizada por DarkGate, Phemedrone Stealer, y el troyano bancario Mispadu.

• Evasión: Como se evita el aviso de SmartScreen, el usuario no tiene ninguna indicación visual de que un script o ejecutable malicioso se está ejecutando hasta que ya es demasiado tarde.

Indicadores de compromiso

Los indicadores de que se está intentando explotar o se ha explotado CVE-2023-36025 incluyen:

• Archivos .URL sospechosos: Accesos directos a internet donde el parámetro URL= apunta a una ruta file:// o UNC en lugar de un sitio web estándar http:// o https://.

• Tráfico de red: Tráfico SMB saliente (puerto 445) o WebDAV iniciado inmediatamente después de que un usuario abre un archivo, especialmente hacia direcciones IP externas desconocidas.

• Ejecución de procesos:rundll32.exe o ieframe.dll generando procesos secundarios inesperados después de que un usuario interactúa con un archivo de acceso directo.

Pruebas de concepto y exploits conocidos

Hay múltiples exploits de prueba de concepto (PoC) disponibles públicamente en GitHub y se han integrado en kits de malware como servicio.

Una campaña destacada involucró a Phemedrone Stealer, que usó esta vulnerabilidad para evadir las verificaciones de seguridad y robar datos sensibles de billeteras de criptomoneda, Discord y Telegram inmediatamente después de que se divulgó la vulnerabilidad.

¿Cómo detectar la vulnerabilidad CVE-2023-36025?

• Escaneo de endpoints: Usa escáneres de vulnerabilidades (Nessus, Qualys, Microsoft Defender) para identificar los endpoints que no tienen instalada la actualización acumulativa de noviembre de 2023.

• Monitoreo de comportamiento: Configura el EDR para alertar sobre archivos .URL que se escriben en el disco y contienen rutas UNC.

• Análisis de archivos: Analiza el contenido de los archivos .URL en los adjuntos de correo. Un acceso directo a internet legítimo generalmente apunta a un recurso web; uno que apunta a un ejecutable en un recurso compartido remoto es altamente sospechoso.

Impacto y riesgo de la vulnerabilidad CVE-2023-36025

El riesgo es importante porque debilita un mecanismo de seguridad confiable. Se entrena a los usuarios para confiar en las advertencias de SmartScreen y así detectar clics accidentales en archivos maliciosos.

Al eliminar esta red de seguridad, los atacantes pueden aumentar drásticamente sus tasas de infección. Una explotación exitosa conduce a la distribución de ransomware, robo de datos (stealers), o el control remoto total de la máquina de la víctima.

Estrategias de mitigación y remediación

La defensa principal es la aplicación de parches, pero la defensa en profundidad sigue siendo fundamental:

• Aplica el parche de inmediato: Asegúrate de haber aplicado la actualización de seguridad de Microsoft de noviembre de 2023 a todos los endpoints de Windows. Esto restauró las verificaciones de validación correctas de SmartScreen.

• Bloquea el tráfico SMB saliente: Asegúrate de que tu firewall perimetral bloquee el tráfico saliente en el puerto TCP 445. Esto evita que la máquina comprometida alcance el recurso compartido remoto del atacante para descargar el payload.

• Filtrado de correo: Configura las puertas de enlace de correo para bloquear o poner en cuarentena los adjuntos que contienen archivos .URL, ya que rara vez se usan para fines comerciales legítimos en el correo.