Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2024-21412
Vulnerabilidad CVE-2024-21412
Escrito por: Lizzie Danielson
Publicado: 5/12/2025
¿Qué es la vulnerabilidad CVE-2024-21412?
CVE-2024-21412 es una vulnerabilidad de omisión de función de seguridad en los archivos de acceso directo a Internet de Microsoft Windows, específicamente en la forma en que Microsoft Defender SmartScreen gestiona los archivos de acceso directo .URL encadenados. Al explotar esta falla, un atacante remoto no autenticado puede omitir las advertencias de seguridad Mark-of-the-Web (MotW) de Windows Defender SmartScreen y entregar archivos maliciosos al sistema de la víctima. Se registra en el sistema Common Vulnerabilities and Exposures (CVE) con el identificador CVE-2024-21412 y tiene una puntuación CVSS de 8.1. Para explotar esta vulnerabilidad se requiere interacción del usuario: el objetivo debe abrir un archivo de acceso directo a Internet creado con fines maliciosos.
¿Cuándo se descubrió?
CVE-2024-21412 fue divulgada por primera vez por Trend Micro Zero Day Initiative. Tras su descubrimiento, la vulnerabilidad se reconoció públicamente, se divulgó públicamente y se corrigió el 13 de febrero de 2024.
Productos y versiones afectados
| Windows 10 versión 21H2 / 22H2 | Todas las compilaciones anteriores al martes de parches de febrero de 2024 | KB5034763 |
| Windows 10 Empresarial LTSC 2019 / Windows Server 2019 | Todas las compilaciones anteriores al martes de parches de febrero de 2024 | KB5034768 |
| Windows 11 versión 21H2 | Todas las compilaciones anteriores al martes de parches de febrero de 2024 | KB5034766 |
| Windows 11 versión 22H2 / 23H2 | Todas las compilaciones anteriores al martes de parches de febrero de 2024 | KB5034765 |
| Windows Server 2022 (21H2 / 22H2) | Todas las compilaciones anteriores al martes de parches de febrero de 2024 | KB5034770 |
| Windows Server 2022 versión 23H2 | Todas las compilaciones anteriores al martes de parches de febrero de 2024 | KB5034769 |
Descripción técnica de CVE-2024-21412
CVE-2024-21412 es una vulnerabilidad de omisión de función de seguridad en los archivos de acceso directo a Internet de Microsoft Windows (específicamente en la forma en que Microsoft Defender SmartScreen los gestiona). Un atacante remoto puede explotar esta falla para omitir las advertencias de seguridad Mark-of-the-Web (MotW) y entregar archivos maliciosos, lo que puede llevar a la instalación y ejecución de malware.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes que buscan explotar CVE-2024-21412 suelen depender de campañas de phishing o servicios públicos expuestos para identificar sistemas vulnerables.
La explotación ocurre mediante ingeniería social: el atacante debe convencer al objetivo de abrir un archivo .URL especialmente diseñado, generalmente entregado a través de un correo de phishing, un sitio web comprometido o un archivo PDF malicioso adjunto.
Las TTPs clave observadas en el mundo real incluyen:
- T1566.001 – Adjunto de spearphishing: archivos .URL maliciosos entregados mediante correos de phishing o señuelos en PDF que contienen enlaces de redirección
- T1204.002 – Ejecución por el usuario: archivo malicioso: la víctima debe abrir el archivo de acceso directo diseñado para activar la explotación
- T1574.002 – DLL Side-Loading: las cargas útiles posteriores a la explotación (por ejemplo, DarkGate) usan DLLs cargadas lateralmente dentro de instaladores de software falsos
- T1105 – Transferencia de herramientas de ingreso: las cargas útiles de malware se obtienen mediante WebDAV o SMB tras la ejecución inicial del acceso directo
- T1036 – Enmascaramiento: accesos directos e instaladores maliciosos disfrazados de software legítimo (Apple iTunes, NVIDIA, Notion) o gráficos financieros
Indicadores de compromiso (IoC)
Direcciones IP
- 62.133.61.26
- 62.133.61.43
- 5.42.107.78
Nombres de dominio
- 21centuryart.com
- scratchedcards.com
- proffyrobharborye.xyz
- answerrsdo.shop
- pcvcf.xyz
- pcvvf.xyz
- pdddk.xyz
- pdddj.xyz
- pddbj.xyz
- pbpbj.xyz
- pbdbj.xyz
- ptdrf.xyz
- pqdrf.xyz
Nota: los IoC están asociados con campañas activas al momento de la divulgación inicial. Las organizaciones deben comparar esta información con fuentes de inteligencia de amenazas actuales para obtener los indicadores más recientes.
Pruebas de concepto y exploits conocidos
El código de explotación de prueba de concepto para CVE-2024-21412 se identificó públicamente en bases de datos de exploits y repositorios de investigación de seguridad poco después de la divulgación del martes de parches de febrero de 2024. Entre las campañas notables que armaron esta vulnerabilidad se incluyen:
- Water Hydra (DarkCasino): El APT group explotó CVE-2024-21412 como un zero-day desde finales de 2023, dirigiéndose a operadores de divisas mediante spearphishing en foros de forex y canales de Telegram, y terminó implementando el troyano de acceso remoto (RAT) DarkMe.
- Campaña de DarkGate: Tras el parche de Microsoft, los operadores del malware DarkGate incorporaron el exploit en sus cadenas de infección, usando redirecciones abiertas de Google Ads para dirigir a las víctimas a sitios comprometidos que alojaban instaladores .MSI maliciosos cargados con DarkGate.
- Lumma Stealer y Meduza Stealer: Posteriormente se observó a otros actores de amenazas explotando CVE-2024-21412 para entregar cargas de malware diseñadas para robar información, apuntando a credenciales y datos financieros.
Cómo detectar la vulnerabilidad CVE-2024-21412
La detección de CVE-2024-21412 implica monitorear lo siguiente:
- Ejecución sospechosa .URL de archivos — en particular archivos que abren recursos alojados en SMB o WebDAV en lugar de URL web estándar
- Indicadores de evasión de SmartScreen — procesos iniciados desde archivos .URL sin las advertencias esperadas de MotW ni los avisos de SmartScreen
- Conexiones salientes de WebDAV/SMB — monitorea el tráfico saliente inesperado de SMB (puerto 445) o WebDAV iniciado por la ejecución de archivos de acceso directo
- Firmas de EDR y SIEM — las reglas de detección dirigidas a T1204.002 (ejecución de archivos maliciosos) y T1105 (transferencia de herramientas de entrada) son particularmente relevantes
- Fuentes de registro de endpoints — se debe monitorear el registro de eventos de seguridad de Windows (ID de eventos 4688, 4103), Sysmon (ID de eventos 1, 3, 11) y la telemetría de Microsoft Defender en busca de cadenas de procesos iniciadas por accesos directos
Impacto y riesgo de la vulnerabilidad CVE-2024-21412
Si no se corrige, CVE-2024-21412 representa riesgos importantes para la confidencialidad e integridad de los datos. Como evita una de las advertencias de seguridad principales de Windows dirigidas al usuario, reduce considerablemente la dificultad para lograr ataques de ingeniería social exitosos. Entre los escenarios de uso indebido observados en el mundo real se incluyen:
- Implementación de RAT (DarkMe) que permite el acceso remoto persistente y el movimiento lateral
- Robo de información (Lumma Stealer, Meduza Stealer) dirigido a credenciales almacenadas, tokens de sesión y datos financieros
- Preparación para ransomware: acceso inicial mediante la evasión de SmartScreen que facilita la implementación posterior de ransomware
- Objetivos financieros con casos reales de explotación contra operadores de divisas e instituciones financieras
Las organizaciones con endpoints Windows 10 o Windows 11 sin parches, en especial las del sector de servicios financieros o con trabajadores remotos que descargan archivos con frecuencia, deben tratar esto como un parche de alta prioridad.
Preguntas frecuentes sobre la vulnerabilidad CVE-2024-21412
CVE-2024-21412 es una vulnerabilidad de bypass de una función de seguridad en Windows Defender SmartScreen. Explota la forma en que Windows maneja los archivos de acceso directo a Internet encadenados (.URL) — un atacante crea un acceso directo que hace referencia a un segundo acceso directo en un recurso compartido SMB remoto. Cuando la víctima abre el primer archivo, Windows resuelve la cadena y ejecuta el payload final sin mostrar la advertencia de seguridad estándar de SmartScreen, lo que permite que el malware se ejecute sin el aviso habitual al usuario.
Esta vulnerabilidad se explota mediante la interacción del usuario. Los atacantes entregan un archivo .URL malicioso a través de correos de phishing, PDF maliciosos o sitios web comprometidos. Cuando un usuario abre el archivo, el mecanismo de acceso directo encadenado evita silenciosamente SmartScreen y puede ejecutar malware, como el RAT DarkMe o DarkGate, en el sistema de la víctima.
Aunque Microsoft emitió un parche en febrero de 2024, esta vulnerabilidad sigue representando un riesgo en cualquier endpoint de Windows sin parchar. Las técnicas que introdujo, encadenar archivos de acceso directo a Internet para evitar MotW, han seguido influyendo en las tácticas de los atacantes. Las organizaciones con ciclos de parcheo retrasados, entornos de Windows heredados o un gran número de endpoints remotos siguen expuestas a un riesgo elevado.
Las organizaciones deben aplicar de inmediato las actualizaciones de seguridad del martes de parches de febrero de 2024 en todos los endpoints con Windows 10 y Windows 11, y en las instancias de Windows Server. Los pasos adicionales de endurecimiento de la seguridad incluyen:
- Bloquear SMB entrante y saliente (puerto 445) en los perímetros de red donde no sea necesario
- Restringir la ejecución de archivos .URL provenientes de ubicaciones de internet mediante políticas de AppLocker o Windows Defender Application Control (WDAC)
- Implementar EDR con detección basada en comportamiento para cadenas de procesos iniciadas por accesos directos
- Realizar capacitaciones de concientización para que los usuarios reconozcan señuelos de phishing dirigidos a contenido financiero o de trading
