6Corrección de seguridad para Windows SmartScreen (CVE-2024-21412)
CVE-2024-21412 no es un fallo cualquiera de Windows, sino una brecha que anula una de las barreras de seguridad más visibles para el usuario: Windows Defender SmartScreen. Este componente muestra avisos antes de ejecutar archivos descargados de Internet que no son de confianza, y la vulnerabilidad, con una puntuación CVSS de 8,1, permite saltárselos por completo. El truco consiste en crear un acceso directo de Internet (.url) que apunta a otro archivo .url alojado en un recurso remoto SMB o WebDAV: al anidar accesos directos, el sistema pierde la pista del Mark-of-the-Web, la marca que delata el origen de la descarga, y el archivo final se ejecuta sin advertencia alguna. La descubrió el Zero Day Initiative de Trend Micro y, lo más preocupante, servía como vía de escape al parche de una vulnerabilidad anterior, CVE-2023-36025, corregida apenas un mes antes, lo que demuestra que los atacantes encuentran rápidamente nuevas vías cuando un fallo se cierra.
Lo que hace de esta corrección una instalación urgente es que el fallo se explotó activamente como día cero antes incluso de que Microsoft publicara el parche, que llegó con los boletines de seguridad de febrero de 2024. El grupo de amenaza persistente Water Hydra, también conocido como DarkCasino, lo utilizó desde finales de diciembre de 2023 para colar el troyano DarkMe en equipos de operadores de mercados financieros y de divisas, con el objetivo de robar datos y allanar el camino a ataques de ransomware. Más tarde, los operadores del malware DarkGate lo aprovecharon con instaladores falsos de iTunes, Notion y NVIDIA distribuidos mediante redirecciones abiertas de la publicidad de Google, y FortiGuard detectó campañas de ladrones de información (ACR Stealer, Lumma y Meduza) dirigidas a Norteamérica, Tailandia y España. La agencia estadounidense CISA incluyó la brecha en su catálogo de vulnerabilidades explotadas, y cualquier equipo que aún no tenga aplicada la actualización sigue expuesto a estas cadenas de ataque ya documentadas.
