Un grave fallo de seguridad en Windows infecta tu PC y no lo detecta ni el antivirus

Esto es algo que ya hemos podido comprobar en varias ocasiones a lo largo de los últimos años y que parece que ha vuelto a suceder. Os contamos todo esto porque se acaba de descubrir un importante fallo de seguridad en el propio sistema de Microsoft que incluso incapacita al antivirus integrado en Windows. Aquí nos referimos a Microsoft Defender, una solución de seguridad en el que cada vez confían más usuarios y que además la empresa no para de mejorar.

De ahí precisamente el problema que se deriva de que esta reciente vulnerabilidad que es capaz de saltar la primera línea de defensa de nuestro equipo basado en Windows. Os contamos todo esto porque se acaba de detectar una campaña bastante enrevesada que consigue saltarse la protección de Microsoft Defender, por lo que cualquiera nos podemos convertir en víctimas. El peligro principal viene dado porque el ataque como tal aprovecha un componente totalmente legítimo del propio sistema operativo.

Lo primero que debemos tener presente es que este es un ataque que se basa en dos pasos bien diferenciados y que utilizan componentes esenciales del propio Windows. Hay que decir que se basa en una técnica que popularmente se conoce como Bring Your Own Vulnerable Driver o BYOVD. Como os podéis imaginar, utiliza estos pequeños trozos de software imprescindibles en el sistema de Microsoft para acceder al resto de datos almacenados en nuestro equipo.

La firma de ciberseguridad GuidePoint Security acaba de revelar esta sofisticada campaña de ataques que explota una vulnerabilidad en Windows para neutralizar Microsoft Defender. El informe publicado indica que los atacantes utilizan la mencionada técnica conocida BYOVD para obtener el control del sistema a nivel de kernel.

Estos son los dos pasos de la peligrosa vulnerabilidad de Windows

Pues bien, para que nos hagamos una idea más aproximada, en primer lugar el ataque utiliza una vulnerabilidad existente en un controlador legítimo del sistema operativo, rwdrv.sys. Hay que tener presente que este driver pertenece a la aplicación llamada ThrottleStop, conocida por la optimización del rendimiento de los procesadores Intel. Así, los atacantes consiguen un acceso de nivel kernel a nuestro PC con permisos elevados sobre el sistema operativo.

A continuación empieza el segundo paso del ataque como tal. Y es que una vez el malware tiene el control sobre el sistema, los atacantes hacen uso de esos permisos elevados para cargar su propio driver malicioso llamado hlpdrv.sys. Hay que saber que el objetivo de este pequeño trozo de software no es otro que modificar algo tan importante como el Registro de Windows. Todo ello con el fin de desactivar por completo las medidas de protección del antivirus integrado del que os hablamos antes, Microsoft Defender.

De este modo, el malware del tipo ransomware se instala en el sistema sin que el usuario sea consciente de ello. Por tanto, aquí es más importante que nunca mantener actualizado el antivirus que forme parte de nuestro equipo, ya sea el integrado en el propio Windows, o cualquier otro de terceros. Igualmente, debemos desconfiar de las páginas web sospechosas desde las que bajamos contenidos y no pinchar en los enlaces de desconocidos que nos siguen por correo electrónico.

Y es que, como vemos, todas las medidas de precaución son pocas a la hora de mantenernos a salvo de los ataques maliciosos más recientes, como sucede en el caso que nos ocupa ahora. También es recomendable actualizar ThrottleStop para disponer de la versión 9.6 o superior que corrige la vulnerabilidad en el driver rwdrv.sys que os mencionamos antes.