Microsoft ha reforzado la seguridad de Windows mediante una nueva configuración de Microsoft Defender destinada a dificultar el robo de contraseñas y credenciales.
La medida se centra especialmente en proteger el proceso LSASS (Local Security Authority Server Service), uno de los objetivos habituales de los ciberdelincuentes cuando consiguen acceder a un equipo Windows.
LSASS gestiona información relacionada con la autenticación de los usuarios. Si un atacante consigue privilegios suficientes en el sistema, puede intentar acceder a la memoria de este proceso para obtener credenciales almacenadas.
Microsoft Defender protege las credenciales de Windows
Uno de los métodos utilizados para robar credenciales consiste en realizar un volcado de la memoria de LSASS. Este proceso puede contener hashes NTLM correspondientes a usuarios que han iniciado sesión en el ordenador.
Los atacantes pueden intentar utilizar esta información para obtener contraseñas o realizar ataques conocidos como Pass-the-Hash. Con esta técnica pueden autenticarse en otros sistemas utilizando las credenciales obtenidas.
Herramientas como Mimikatz permiten acceder a este tipo de información cuando un atacante ya ha conseguido los permisos necesarios en el equipo.
La nueva configuración de seguridad busca dificultar estas técnicas mediante las reglas de reducción de la superficie de ataque de Microsoft Defender, conocidas como ASR (Attack Surface Reduction).
Estas reglas permiten bloquear determinados comportamientos que pueden utilizar los ciberdelincuentes para acceder a información sensible del sistema.
Una nueva barrera contra el robo de contraseñas
Microsoft continúa incorporando medidas destinadas a reducir las posibilidades de que un atacante pueda obtener credenciales almacenadas en Windows.
La protección del proceso LSASS resulta especialmente importante en entornos empresariales. Si un ciberdelincuente consigue las credenciales de un usuario, puede intentar utilizarlas para acceder a otros dispositivos o recursos de la organización.
Por este motivo, además de utilizar las funciones de seguridad integradas en Windows, es recomendable mantener el sistema operativo y Microsoft Defender actualizados.
También es importante utilizar contraseñas seguras, limitar los privilegios de administrador y activar sistemas de autenticación adicional siempre que estén disponibles.
Microsoft también ha comenzado a retirar herramientas como WMIC, que pueden ser utilizadas legítimamente para administrar sistemas, pero que también han sido aprovechadas por ciberdelincuentes para ejecutar comandos e instalar malware.
Puedes consultar más información sobre esta medida de seguridad en Genbeta.