La empresa eslovaca de ciberseguridad ESET ha revelado que una vulnerabilidad de día cero recientemente corregida en el subsistema del kernel Win32 de Windows ha sido explotada en ataques desde marzo de 2023.
Esta falla de seguridad, ahora identificada como CVE-2025-24983, fue parcheada en las actualizaciones de seguridad de Windows Patch Tuesday de marzo de 2025. La vulnerabilidad fue reportada a Microsoft por el investigador de ESET, Filip Jurčacko, quien detectó su explotación activa en sistemas afectados.
Detalles de la vulnerabilidad CVE-2025-24983
La vulnerabilidad CVE-2025-24983 es causada por un fallo de uso después de liberación (Use-After-Free, UAF) que permite a atacantes con privilegios bajos obtener privilegios SYSTEM sin necesidad de interacción del usuario.
A pesar de su peligrosidad, Microsoft ha calificado estos ataques como de alta complejidad, ya que para explotarlos con éxito, los actores de amenazas deben generar una condición de carrera en el sistema.
Explotación en ataques con el malware PipeMagic
Según ESET, el exploit que aprovecha CVE-2025-24983 fue detectado en la naturaleza por primera vez en marzo de 2023, en sistemas comprometidos con la puerta trasera PipeMagic.
Este exploit ha sido dirigido principalmente a versiones antiguas de Windows, como Windows Server 2012 R2 y Windows 8.1, sistemas que Microsoft ya no admite. Sin embargo, la vulnerabilidad también afecta a versiones más recientes del sistema operativo, incluyendo:
- Windows Server 2016
- Windows 10 (Build 1809 y anteriores)
PipeMagic: Puerta trasera utilizada para ataques avanzados
La puerta trasera PipeMagic fue descubierta originalmente por Kaspersky en 2022 y ha sido utilizada en campañas de ciberataques avanzados. Este malware permite a los atacantes:
✅ Exfiltrar datos confidenciales de los dispositivos infectados.
✅ Otorgar acceso remoto completo a los sistemas comprometidos.
✅ Desplegar cargas maliciosas adicionales para moverse lateralmente en la red de la víctima.
En 2023, Kaspersky detectó el uso de PipeMagic en ataques del ransomware Nokoyawa, donde los ciberdelincuentes explotaron otro día cero de Windows, la vulnerabilidad CVE-2023-28252, una falla de escalada de privilegios en el controlador del sistema de archivos de registro común.
Microsoft parchea seis vulnerabilidades de día cero
Durante el Patch Tuesday de marzo de 2025, Microsoft no solo corrigió CVE-2025-24983, sino que también solucionó otras cinco vulnerabilidades de día cero que estaban siendo explotadas activamente:
- CVE-2025-24984: Vulnerabilidad de divulgación de información en Windows NTFS.
- CVE-2025-24985: Vulnerabilidad de ejecución remota de código en el controlador de archivos FAT rápido de Windows.
- CVE-2025-24991: Otra vulnerabilidad de divulgación de información en NTFS.
- CVE-2025-24993: Vulnerabilidad de ejecución remota de código en NTFS.
- CVE-2025-26633: Vulnerabilidad de omisión de funciones de seguridad en Microsoft Management Console.
CISA ordena parches antes del 1 de abril
Debido a la gravedad de estos exploits, la CISA (Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU.) ha agregado estos seis días cero a su Catálogo de Vulnerabilidades Explotadas Conocidas.
Como parte de su Directiva Operativa Vinculante (BOD) 22-01, CISA ha ordenado a todas las agencias del Poder Ejecutivo Civil Federal (FCEB) que aseguren sus sistemas antes del 1 de abril de 2025.
Recomendaciones de CISA para mitigar riesgos
🔹 Priorizar la instalación de parches para evitar ataques mediante las vulnerabilidades mencionadas.
🔹 Seguir buenas prácticas de seguridad como segmentación de red y monitoreo de tráfico sospechoso.
🔹 Reducir la exposición a amenazas cibernéticas, implementando medidas de detección y respuesta proactiva.
«CISA insta encarecidamente a todas las organizaciones, más allá de las agencias gubernamentales, a mitigar estos riesgos aplicando los parches de seguridad de inmediato», advirtió la agencia.
En fin, la vulnerabilidad CVE-2025-24983 ha estado siendo explotada desde marzo de 2023, afectando tanto a versiones antiguas como recientes de Windows. Su explotación ha estado vinculada al malware PipeMagic, utilizado en campañas avanzadas de ciberataques.
Con la reciente publicación de seis vulnerabilidades de día cero corregidas por Microsoft, es crucial que las organizaciones y agencias gubernamentales instalen los parches de seguridad antes del 1 de abril para reducir el riesgo de ciberataques.
Fuente: Bleeping Computer
