puede permitir la ejecución de troyanos con privilegios de
"Administrador" a cualquier usuario del sistema.
Durante la aplicación del Service Pack 5, en una estación de
trabajo, la instalación se lleva a cabo bajo el contexto de que
la sesión pertenece a un usuario con privilegios de
"Administrador". En este proceso, y como parte de la instalación,
Service Pack 5 realiza entradas en la clave del registro
"RunOnce", de forma que los programas que en ella se indiquen
serán ejecutados una sola vez, y de forma automática, la próxima
vez que se inicie el sistema. Este forma de actuación no está
recogida en la documentación que Microsoft proporciona con el
SP5.
En grandes entornos corporativos, los administradores pueden
optar por ir de máquina en máquina instalando el SP5 o hacerlo
de forma distribuida con algún sistema como SMS. En cualquier
caso, los administradores no tienen conocimiento de que, después
de aplicar SP5, deben reiniciar el sistema con una sesión con
privilegios de "Administrador" para que los programas, a los que
hace referencia la clave del registro "RunOnce", se ejecuten
bajo las condiciones apropiadas.
En este contexto, cuando los usuarios del puesto de trabajo
inicien el sistema después de que se haya aplicado el SP5 por
parte del administrador, "RunOnce" intentará lanzar los programas
a los que hace referencia. En la mayoría de las ocasiones, la
sesión iniciada por los usuarios no tendrá privilegios de
"Administrador", por lo que el programa lanzado no podrá llevar a
cabo su tarea. Como efecto colateral, la entrada de la clave
"RunOnce" no será borrada, por lo que el programa se ejecutará
cada vez que se inicie el sistema, hasta que la sesión pertenezca
a un usuario con privilegios de "Administrador".
Aprovechando esta situación, cualquiera puede remplazar los
ejecutables a los que se hace referencia en "RunOnce",
PSTORES.EXE y CSVROOT.EXE, ya que los permisos de estos archivos
conceden ese privilegio a cualquier usuario del sistema. Los
nuevos programas se intentarían lanzar en cada inicio de sesión,
al igual que los originales, hasta que se ejecuten bajo el
contexto de una sesión de "Administrador". A partir de aquí se
pueden llevar a cabo multitud de ataques, ya que da carta blanca
para que un troyano se ejecute con acceso total al sistema.
Más información:
NTBugtraq
Bernardo Quintero
