Explotación de CVE-2025-29824 por el ransomware Play: Análisis técnico
Recientemente, actores de amenazas asociados a la familia de ransomware Play han explotado una vulnerabilidad de escalada de privilegios en Microsoft Windows, identificada como CVE-2025-29824. Este fallo, parcheado recientemente, fue utilizado como un zero-day en un ataque dirigido contra una organización no identificada en Estados Unidos, según informó el equipo Symantec Threat Hunter de Broadcom.
Detalles técnicos de CVE-2025-29824
La vulnerabilidad reside en el controlador del Sistema de Archivos de Registro Común (CLFS), un componente crítico de Windows encargado del manejo de registros estructurados. El fallo permite a un atacante con acceso inicial al sistema elevar sus privilegios aprovechando un error en la validación de operaciones de escritura en archivos de registro.
- Tipo de vulnerabilidad: Escalada de privilegios (EoP).
- Componente afectado: CLFS.sys (Common Log File System Driver).
- Vector de ataque: Explotación local tras compromiso inicial.
- Impacto: Permite a un usuario malintencionado obtener privilegios de nivel kernel.
Tácticas del grupo Play ransomware
Play ransomware ha sido vinculado previamente a ataques contra entidades gubernamentales y corporativas. En este caso, los atacantes combinaron la explotación de CVE-2025-29824 con:
- Técnicas de movimiento lateral usando herramientas como PsExec.
- Desactivación de soluciones de seguridad mediante scripts personalizados.
- Uso de cifrado AES-256 para bloquear archivos, con extensión “.play”.
Implicaciones para la seguridad
Este incidente subraya varios desafíos críticos:
- La rápida adopción de vulnerabilidades recién parcheadas (N-day exploitation) por grupos ransomware.
- La importancia de aplicar parches prioritarios para componentes del kernel como CLFS.
- La necesidad de monitorear actividades sospechosas relacionadas con procesos que interactúan con drivers del sistema.
Recomendaciones de mitigación
Las organizaciones deberían implementar las siguientes medidas:
- Aplicar inmediatamente el parche de Microsoft para CVE-2025-29824.
- Implementar controles de integridad para procesos que acceden a drivers del kernel.
- Monitorizar intentos de ejecución de código en procesos críticos del sistema.
- Restringir el uso de herramientas administrativas como PsExec a entornos controlados.
Para más detalles sobre el ataque original, consulta la Fuente original en The Hacker News.
