Windows es el sistema operativo más atacado del planeta. Estos son los vectores activamente explotados en redes de empresas medianas y los controles concretos para mitigarlos sin interrumpir la operación.
En el artículo anterior de esta serie explicamos cómo un ataque moderno encadena múltiples plataformas. Windows suele ser el eslabón inicial o el pivote central: es donde vive la mayoría de los usuarios, donde se almacenan las credenciales de dominio y desde donde se administra la infraestructura. Comprometer un equipo Windows en la red correcta equivale, con frecuencia, a comprometer toda la organización.
El problema no es solo que existan vulnerabilidades en Windows —todo sistema las tiene. El problema es la brecha de tiempo entre que se publica un parche y que las empresas lo aplican. Según datos de Microsoft, el tiempo promedio de explotación de una vulnerabilidad después de publicado su parche es de 14 días. El tiempo promedio que tarda una PYME en aplicar ese parche es de 60 a 150 días. En esa brecha viven los atacantes.
Las vulnerabilidades de Windows más explotadas en entornos empresariales
1. NTLM Relay: el ataque que nunca muere
NTLM (NT LAN Manager) es un protocolo de autenticación de Windows con décadas de antigüedad. Microsoft recomienda reemplazarlo con Kerberos desde hace años, pero millones de redes corporativas lo siguen usando por compatibilidad con sistemas legados.
El ataque NTLM Relay funciona así: cuando un equipo Windows intenta autenticarse contra un recurso de red —una impresora, un servidor de archivos, un sitio web interno— envía un desafío NTLM que el atacante intercepta y retransmite hacia otro servicio de la red suplantando la identidad de la víctima. Con herramientas como Responder e Impacket, un atacante posicionado en la red interna puede capturar hashes de administradores de dominio sin que ningún usuario haga nada incorrecto.
Mitigación: Deshabilitar NTLM donde sea posible, habilitar SMB Signing obligatorio en todos los equipos, y activar EPA (Extended Protection for Authentication) en servicios web internos.
2. PrintNightmare y la superficie de impresión
En 2021, la vulnerabilidad PrintNightmare (CVE-2021-34527) demostró que el servicio de cola de impresión de Windows (Print Spooler), activo por defecto en todos los sistemas Windows incluyendo controladores de dominio, permitía ejecución remota de código con privilegios de SYSTEM.
Tres años después, el servicio Print Spooler sigue corriendo activo en la mayoría de servidores que auditamos, incluyendo controladores de dominio donde no existe ninguna impresora conectada. El parche existe, pero la configuración incorrecta persiste.
Mitigación: Deshabilitar el servicio Print Spooler en todos los sistemas donde no sea estrictamente necesario, especialmente controladores de dominio. Si se necesita imprimir en servidores, usar un servidor de impresión dedicado.
3. Zerologon y la confianza implícita en Netlogon
Zerologon (CVE-2020-1472) recibió el puntaje CVSS más alto posible: 10.0. La vulnerabilidad permitía a cualquier persona con acceso a la red —sin necesidad de credenciales— autenticarse como el controlador de dominio y cambiar la contraseña de cualquier cuenta, incluyendo la del administrador del dominio.
Aunque Microsoft publicó el parche en agosto de 2020, el FBI y CISA emitieron alertas sobre su explotación activa durante meses. Controladores de dominio sin actualizar siguen siendo vulnerables.
Mitigación: Aplicar las actualizaciones de seguridad de agosto de 2020 y posteriores. Habilitar el modo de cumplimiento forzado de Netlogon (no solo el modo de compatibilidad). Monitorear eventos 5827, 5828 y 5829 en el visor de eventos.
4. Credenciales en memoria: el caso de LSASS
Windows almacena temporalmente hashes de contraseñas y tickets de Kerberos en el proceso LSASS (Local Security Authority Subsystem Service). La herramienta Mimikatz, disponible públicamente desde 2011 y usada en prácticamente todos los ataques de ransomware modernos, extrae esas credenciales directamente de la memoria del sistema.
No es una vulnerabilidad que tenga un parche: es una consecuencia del diseño de la autenticación de Windows. La defensa está en dificultar el acceso al proceso, no en eliminarlo.
Mitigación: Habilitar Credential Guard (disponible en Windows 10/11 Enterprise y Windows Server 2016+), que aisla LSASS en un contenedor virtualizado. Activar la protección de PPL (Protected Process Light) para LSASS. Limitar los derechos de depuración (SeDebugPrivilege) únicamente a administradores estrictamente necesarios.
5. Actualizaciones pendientes: la vulnerabilidad invisible
Más allá de las vulnerabilidades con nombre propio, la causa más común de compromiso en redes Windows que auditamos es simple: sistemas sin actualizar. No por falta de parches disponibles, sino por falta de un proceso de gestión de actualizaciones.
En una red típica de PYME centroamericana encontramos equipos con 3, 6 y hasta 18 meses de actualizaciones pendientes. Cada una de esas actualizaciones cierra vulnerabilidades que los atacantes explotan activamente.
Mitigación: Implementar WSUS (Windows Server Update Services) o Microsoft Intune para centralizar y forzar actualizaciones. Establecer una política de "patch Tuesday+7": aplicar actualizaciones críticas dentro de los 7 días siguientes al segundo martes de cada mes (fecha en que Microsoft libera parches).
Configuraciones de Windows que crean puertas traseras sin querer
Cuentas de administrador local idénticas
En muchas redes encontramos que todos los equipos tienen la misma contraseña de administrador local —muchas veces la misma que se usó cuando se instaló el equipo hace cinco años. Si un atacante obtiene esa contraseña en un solo equipo, puede autenticarse como administrador local en todos los demás. Microsoft LAPS (Local Administrator Password Solution) resuelve esto generando contraseñas únicas y rotatorias para cada equipo, almacenadas de forma segura en Active Directory.
SMBv1 habilitado
SMBv1 es el protocolo que explotó EternalBlue, la vulnerabilidad detrás de WannaCry en 2017. A pesar de tener casi una década de antigüedad, el análisis de redes corporativas en 2024 muestra que SMBv1 sigue activo en un porcentaje significativo de organizaciones. No hay razón válida para mantenerlo habilitado hoy.
# Verificar si SMBv1 está habilitado (PowerShell, como administrador)
Get-SmbServerConfiguration | Select EnableSMB1Protocol
# Deshabilitar SMBv1
Set-SmbServerConfiguration -EnableSMB1Protocol $false -ForceRDP expuesto directamente a Internet
El Protocolo de Escritorio Remoto (RDP, puerto 3389) es legítimo y útil. Expuesto directamente a Internet es una invitación a ataques de fuerza bruta. Los escáneres automatizados identifican IPs con RDP abierto en segundos. La solución no es deshabilitar RDP sino colocarlo detrás de una VPN o usar Azure AD Application Proxy.
El rol del antivirus: necesario pero insuficiente
Un antivirus moderno (EDR/XDR) es necesario. No es suficiente. Las técnicas de ataque actuales —ejecución en memoria, abuso de herramientas legítimas del sistema (living off the land), cifrado de comunicaciones— están diseñadas para evadir detecciones basadas en firmas.
Microsoft Defender for Endpoint, en su versión Plan 2, incluye capacidades de detección de comportamiento que van mucho más allá del antivirus tradicional. Para empresas en Microsoft 365 Business Premium, ya está incluido. Si lo tienen habilitado, asegúrense de que esté en modo activo y que las alertas lleguen a alguien que las revise.
Prioridades para una PYME con recursos limitados
Si tuviéramos que reducir todo a tres acciones inmediatas:
- Activar actualizaciones automáticas o implementar WSUS/Intune. Esta sola medida elimina el 85% de la superficie de ataque en vulnerabilidades conocidas.
- Implementar Microsoft LAPS para gestionar contraseñas de administrador local único por equipo.
- Deshabilitar SMBv1 y revisar la exposición de RDP. Dos configuraciones que cierran vectores de ataque documentados y sin costo adicional.
En el siguiente artículo de esta serie pasamos de Windows al servicio que vive encima de él en la mayoría de empresas: Microsoft 365, donde el correo, el calendario y los documentos coexisten con algunas de las configuraciones más peligrosas de todo el ecosistema Microsoft.
¿Quiere saber cuáles de estas vulnerabilidades están presentes en su red hoy? Nuestra evaluación gratuita de ciberseguridad incluye una revisión de configuraciones de Windows y Active Directory con un informe de hallazgos concretos.