Microsoft ha publicado actualizaciones de seguridad urgentes para corregir una vulnerabilidad de día cero (zero-day) de ejecución remota de código en la Consola de Administración de Windows (MMC). Mediante el envío de archivos maliciosos con extensión .msc a través de correos de phishing, atacantes remotos podían eludir los controles de seguridad del sistema y ejecutar código malicioso con privilegios administrativos. Analizamos el vector de ataque y las medidas de protección indispensables.
Funcionamiento del exploit en la consola MMC
La consola de administración (mmc.exe) alberga herramientas de gestión del sistema como el visor de eventos o la administración de discos.
- Vulnerabilidad en el procesamiento de archivos XML: Los archivos MSC son estructuras XML que definen los componentes a cargar. Un fallo en la validación de estos datos permitía forzar la carga de librerías DLL remotas sin supervisión.
- Evasión de los avisos de seguridad: Los atacantes combinaban este fallo con técnicas para anular la marca de procedencia de internet (Mark of the Web), evitando que Windows SmartScreen mostrara avisos de advertencia al usuario al abrir el archivo.
Sistemas afectados
- Windows 11 y Windows 10 (todas las versiones con soporte).
- Windows Server 2022, 2019 y 2016.
Medidas urgentes para administradores de sistemas
- Instalación inmediata de parches acumulativos: Desplegar la actualización oficial de Windows Update en toda la infraestructura de la organización.
- Bloqueo perimetral de archivos
.msc: Filtrar en las pasarelas de correo electrónico corporativo cualquier archivo entrante con extensión.msc. - Políticas de restricción de software: Restringir la ejecución de la consola MMC para usuarios sin privilegios administrativos en equipos de usuario final.
La aplicación inmediata de las medidas preventivas es clave para frenar posibles intrusiones en la red corporativa.