Justo cuando crees que tu compu está funcionando sin problemas, resulta que hay una parte clave de Windows que podría estar dejando la puerta abierta a los atacantes. Se trata del servicio de tareas programadas, y en específico de un archivo llamado schtasks.exe, que se usa para crear y administrar tareas dentro del sistema.
Suena inofensivo, pero investigadores en ciberseguridad descubrieron cuatro vulnerabilidades diferentes en este componente que podrían ser aprovechadas por usuarios locales para elevar sus privilegios, ejecutar comandos como si fueran administradores, e incluso borrar registros para cubrir sus huellas. En otras palabras: alguien sin permisos importantes podría tomar el control total de tu computadora sin que te des cuenta. Así de delicado es el asunto.
¿Cómo funciona la vulnerabilidad de escalada de privilegios en Windows a través de tareas programadas?
Si un atacante logra aprovechar esta falla, puede subir su nivel de acceso en el sistema y ejecutar cosas maliciosas como si fuera administrador. Eso significa que podría meterse donde no debe, robar información o dejar el sistema mucho más expuesto a otros ataques.
El truco está en cómo se crea una tarea programada. En lugar de usar un inicio de sesión interactivo (como cuando tú entras al sistema), el atacante puede usar lo que se llama "Batch Logon", que básicamente es iniciar con una contraseña directamente. Cuando se hace así, el servicio de tareas de Windows puede terminar dándole al proceso permisos mucho más altos de los que debería tener.
Eso sí, para que esto funcione, primero el atacante necesita conseguir esa contraseña. Y eso lo puede lograr por otros métodos, como descifrando un hash NTLMv2 después de conectarse a un servidor SMB o aprovechando otras fallas ya conocidas, como la CVE-2023-21726.
En pocas palabras, alguien con pocos privilegios podría usar el archivo schtasks.exe y hacerse pasar por usuarios con roles importantes, como administradores o usuarios del sistema, siempre y cuando tenga la contraseña correcta. Desde ahí, ya puede hacer y deshacer a sus anchas.
Y eso no es todo: también hay una forma de registrar estas tareas programadas usando un archivo XML junto con ese tipo de inicio de sesión, lo que abre la puerta a dos técnicas para esquivar la seguridad. Una les permite sobrescribir el registro de eventos, básicamente borrando cualquier huella de lo que hicieron. La otra, inunda los registros de seguridad, lo que también ayuda a ocultar la actividad maliciosa.
Podría interesarte leer: Mayúsculas y Símbolos en Contraseñas No Detienen a los Hackers
En pocas palabras, el truco aquí es crear una tarea programada con un archivo XML donde el nombre del autor tenga, por ejemplo, la letra "A" repetida 3,500 veces. Esto no es solo un error raro: provoca que se sobrescriba por completo la descripción del registro XML de la tarea. Y si se explota bien, puede llegar a borrar o sobrescribir toda la base de datos de eventos de seguridad que está en C:\Windows\System32\winevt\logs\Security.evtx.
Lo preocupante es que el Programador de Tareas de Windows es súper accesible. Cualquiera puede crear una tarea, y como corre con permisos de SYSTEM (el nivel más alto en Windows), también maneja cosas como los privilegios del proceso, su nivel de integridad y hasta qué usuario se hace pasar por quién.
Y ojo, que la primera de estas vulnerabilidades no es solo una forma de saltarse el Control de Cuentas de Usuario (UAC). Va más allá. Es básicamente una forma de hacerse pasar por cualquier usuario si tienes su contraseña, y desde la línea de comandos, usar los parámetros /ru y /rp para lanzar tareas con los máximos privilegios disponibles en el sistema.