7Actualización para NTFS de Windows (CVE-2024-43451)
La CVE-2024-43451, corregida por Microsoft el 12 de noviembre de 2024 en el parche mensual, es un cero-día que ya se estaba explotando activamente antes de que existiera solución, y eso la convierte en prioridad absoluta. Aunque se ha popularizado como un fallo ligado al manejo de archivos y a NTFS, el problema real reside en el protocolo NTLM: un atacante puede robar el hash NTLMv2 de la víctima sin que esta tenga que abrir el archivo malicioso. Basta con interactuar mínimamente con un archivo .url manipulado: hacer clic derecho sobre él, seleccionarlo, arrastrarlo a otra carpeta o incluso borrarlo. Con ese hash, el intruso puede autenticarse como el usuario legítimo mediante ataques pass-the-hash, moverse lateralmente por la red y, si la cuenta tiene privilegios, comprometer el dominio entero. Pese a su 6,5 en la escala CVSS, expertos como Ivanti aconsejan tratarla como crítica: afecta a todas las versiones soportadas de Windows, desde Server 2008 hasta Windows 11.
El riesgo no es teórico. La firma ClearSky detectó la explotación en junio de 2024 y la atribuyó al actor UAC-0194, presuntamente vinculado a Rusia, que la usó contra entidades ucranianas: una campaña de phishing desde un servidor gubernamental ucraniano comprometido distribuía archivos .url que, al ser manipulados, descargaban el troyano SparkRAT. La CISA la añadió a su catálogo de vulnerabilidades explotadas conocidas, con plazo de corrección para agencias federales el 3 de diciembre de 2024. Y el fallo sigue coleando: seis días después del parche, el grupo sudamericano Blind Eagle ya empleaba una variante de la técnica contra instituciones colombianas, con más de 1.600 víctimas en una sola campaña de diciembre de 2024. Instalar las acumulativas de noviembre, como la KB5046617 en Windows 11 24H2 o sus equivalentes en otras versiones, sigue siendo la única defensa fiable incluso para equipos aparentemente limpios.
