Cómo obtener privilegios de administrador en Windows conectando un teclado o ratón

Razer Synapse es el software de control que el popular fabricante de periféricos y equipos de alto rendimiento entrega con sus dispositivos. Sirve para configurarlos, asignar macros, botones o gestionar la iluminación y su uso es obligado para las decenas de millones de usuarios que usan hardware del fabricante.

Un investigador de seguridad ha descubierto una curiosa vulnerabilidad de día cero en la instalación plug-and-play del Razer Synapse que permite a los usuarios obtener privilegios de sistema en un dispositivo Windows rápidamente, simplemente conectando un ratón o teclado. Un analista independiente que trabaja en el CERT ha confirmado la vulnerabilidad, pero la amplía potencialmente a periféricos de otros fabricantes, estimando que es probable que se encuentren errores similares en otro software instalado por el proceso plug-and-play de Windows.

Eso sí, como se trata de una vulnerabilidad de escalamiento de privilegios locales (LPE), explotar el fallo requiere acceso físico a la máquina en cuestión, lo que limita su expansión frente a la explotación de fallos de seguridad en remoto.

Cuando conectamos un dispositivo Razer a Windows 10, el sistema operativo descarga e instala el controlador y el software Razer Synapse. Dado que el ejecutable RazerInstaller.exe se inicia a través de un proceso de Windows que se ejecuta con privilegios de SISTEMA, el programa de instalación también obtiene este tipo de nivel, el más alto en Windows y que permite hacer cualquier cosa.

El asistente de configuración permite especificar la carpeta donde el usuario desea instalar el Razer Synapse y en esta capacidad es donde llegan los problemas. Si el usuario cambia la ubicación de su carpeta, aparecerá un cuadro de diálogo para la selección. Si presionas la tecla mayúscula junto al botón derecho del ratón, se abrirá un mensaje de la consola avanzada de Windows PowerShell.

PowerShell se inicia con privilegios de SISTEMA por lo que la sesión también heredará esos mismos privilegios. Un comportamiento problemático porque desde ahí un atacante podría ejecutar cualquier comando, instalar malware y en definitiva hacerse con el control total del equipo. Recordamos que esta vulnerabilidad requiere acceso físico a la máquina, lo que por lo menos limita su uso. El investigador ha publicado un vídeo de demostración de la vulnerabilidad.

Razer se ha puesto en contacto con el investigador de seguridad para informarle que emitirán un parche de seguridad próximamente. El fabricante le pagará un cantidad económica desde su programa de recompensas por encontrar vulnerabilidades.

No sabemos si este comportamiento se puede reproducir en software de control de periféricos de otros fabricantes como explicaba el analista de vulnerabilidades del CERT y el bug afecta a la instalación general de dispositivos plug-and-play en Windows.

Actualización

Hemos recibido una declaración oficial de Razer al respecto que con gusto transcribimos:

«Hemos tenido conocimiento de una situación en la que nuestro software, en un caso de uso muy específico, proporciona al usuario un acceso más amplio a su ordenador durante el proceso de instalación.

Hemos investigado el problema y actualmente estamos realizando cambios en la aplicación de instalación para limitar este caso de uso, así como publicaremos una versión actualizada en breve. El uso de nuestro software (incluida la aplicación de instalación) no proporciona acceso de terceros no autorizados al ordenador.

Estamos comprometidos a garantizar la seguridad digital y la protección de todos nuestros sistemas y servicios, y si encuentra algún error potencial, lo alentamos a informarlo a través de nuestro servicio de recompensas de errores, Inspectiv: https://app.inspectiv.com/#/sign-up».

Actualización 2

Confirmando el comentario del analista del CERT, otro investigador ha descubierto una vulnerabilidad similar de escalada de privilegios en la aplicación de control de los periféricos de SteelSeries. Y nni siquiera es necesario un dispositivo SteelSeries real para que este ataque funcione.

El investigador ha publicado un script de código abierto que puede imitar los dispositivos de interfaz humana (HID) en un teléfono Android, específicamente para probar escenarios de escalada de privilegios locales (LPE).

«Somos conscientes del problema identificado y hemos desactivado proactivamente el lanzamiento del instalador SteelSeries que se activa cuando se conecta un nuevo dispositivo. Esto elimina inmediatamente la oportunidad de un exploit y estamos trabajando en una actualización de software que abordará el problema de forma permanente y se publicará pronto», ha comentado un portavoz de SteelSeries.