Escalada de privilegios: por qué ningún usuario debería ser administrador por defecto
La escalada de privilegios es la técnica por la que un atacante (o malware) con acceso limitado consigue permisos de administrador. Una vez que tienen privilegios elevados, pueden hacer cualquier cosa: instalar malware, crear cuentas ocultas, borrar logs.
¿Cómo funciona?
- Explotación de vulnerabilidades del SO: bugs en el kernel o en servicios del sistema que permiten ejecutar código con privilegios elevados.
- Misconfiguraciones: servicios que corren como SYSTEM/root sin necesidad, permisos excesivos en archivos o registros.
- Credenciales en texto claro: contraseñas de administrador encontradas en scripts, ficheros de configuración o la memoria.
- Token impersonation (Windows): robo de tokens de autenticación de procesos con privilegios elevados.
¿Por qué importa tanto?
Si el ransomware se ejecuta como usuario normal, solo puede cifrar los archivos de ese usuario. Si escala privilegios, cifra todo el sistema y los recursos de red. La diferencia entre un incidente contenido y un desastre.
Medidas preventivas
- Uso diario con cuenta sin privilegios: incluso los administradores de sistemas deben tener dos cuentas — una normal para el trabajo diario y una de admin solo para tareas específicas.
- UAC activado en Windows: nunca desactivarlo.
- Parches del sistema operativo: muchas CVEs de escalada tienen parche disponible.
- PAM (Privileged Access Management): gestión centralizada de cuentas privilegiadas con registro de todo lo que hacen.
Blindara monitoriza el uso de cuentas privilegiadas y alerta ante cualquier elevación de permisos fuera del proceso habitual — uno de los indicadores más fiables de que un atacante ya tiene presencia en la red.
