Escalada de privilegios: por qué ningún usuario debería ser administrador por defecto

La escalada de privilegios es la técnica por la que un atacante (o malware) con acceso limitado consigue permisos de administrador. Una vez que tienen privilegios elevados, pueden hacer cualquier cosa: instalar malware, crear cuentas ocultas, borrar logs.

¿Cómo funciona?

• Explotación de vulnerabilidades del SO: bugs en el kernel o en servicios del sistema que permiten ejecutar código con privilegios elevados.
• Misconfiguraciones: servicios que corren como SYSTEM/root sin necesidad, permisos excesivos en archivos o registros.
• Credenciales en texto claro: contraseñas de administrador encontradas en scripts, ficheros de configuración o la memoria.
• Token impersonation (Windows): robo de tokens de autenticación de procesos con privilegios elevados.

¿Por qué importa tanto?

Si el ransomware se ejecuta como usuario normal, solo puede cifrar los archivos de ese usuario. Si escala privilegios, cifra todo el sistema y los recursos de red. La diferencia entre un incidente contenido y un desastre.

Medidas preventivas

• Uso diario con cuenta sin privilegios: incluso los administradores de sistemas deben tener dos cuentas — una normal para el trabajo diario y una de admin solo para tareas específicas.
• UAC activado en Windows: nunca desactivarlo.
• Parches del sistema operativo: muchas CVEs de escalada tienen parche disponible.
• PAM (Privileged Access Management): gestión centralizada de cuentas privilegiadas con registro de todo lo que hacen.