Investigadores de ciberseguridad han revelado detalles sobre una vulnerabilidad, ahora parcheada, en el protocolo de comunicación RPC (Remote Procedure Call) de Microsoft Windows.
Esta falla de seguridad, identificada como CVE-2025-49760, permite a un atacante realizar ataques de suplantación (spoofing) e incluso escalar privilegios a nivel de dominio. La vulnerabilidad reside en la manipulación del Endpoint Mapper (EPM), un componente central del protocolo RPC.
Un atacante puede envenenar el EPM, haciéndose pasar por un servicio legítimo y engañando a otros procesos para que se autentiquen con un servidor controlado por él. Esto se asemeja a un ataque de envenenamiento DNS, donde se manipulan los registros DNS para redirigir el tráfico a sitios web maliciosos.
El ataque se basa en registrar interfaces pertenecientes a servicios esenciales, especialmente aquellos con inicio manual o retrasado, lo que les hace vulnerables durante el arranque del sistema.
Una vez comprometido, el atacante puede forzar a servicios protegidos (PPL) a autenticarse con credenciales de la máquina contra un servidor SMB malicioso, filtrando el hash NTLM y posibilitando un ataque ESC8 para escalar privilegios en Active Directory Certificate Services (AD CS).
Se recomienda implementar las actualizaciones de seguridad de Microsoft y monitorizar llamadas a RpcEpRegister usando Event Tracing for Windows (ETW) para detectar posibles ataques. SafeBreach ha desarrollado una herramienta llamada RPC-Racer para identificar servicios RPC inseguros.
En INGENIERÍA TELEMÁTICA SAS, estamos al tanto de estas vulnerabilidades y ofrecemos soluciones integrales para proteger su infraestructura. Si desea evaluar su exposición a este tipo de ataques o necesita ayuda para implementar medidas de seguridad, no dude en contactarnos.
Fuente original: Ver aquí