### Microsoft refuerza la protección de File Explorer contra ataques de robo de credenciales mediante archivos descargados

#### 1. Introducción

Microsoft ha anunciado una mejora significativa en las medidas de seguridad de File Explorer (anteriormente conocido como Windows Explorer) dirigida a mitigar una de las técnicas más utilizadas por los actores de amenazas: el robo de credenciales mediante la manipulación de documentos descargados. Esta actualización responde al incremento de campañas de ingeniería social y malware que explotan la vista previa automática de archivos para ejecutar cargas maliciosas, robar hashes de contraseñas o desencadenar la ejecución de código arbitrario en sistemas Windows.

#### 2. Contexto del Incidente o Vulnerabilidad

Durante los últimos años, las técnicas de ataque basadas en la vista previa de archivos se han consolidado como una vía efectiva de compromiso, especialmente en entornos corporativos donde la descarga e inspección de documentos es una práctica cotidiana. Documentos de Office, PDFs, archivos comprimidos y otros formatos han sido utilizados como vehículos para ataques de phishing, ransomware y exfiltración de credenciales, aprovechando funcionalidades de Windows que ejecutan automáticamente vistas previas o interpretan metadatos embebidos.

Investigaciones recientes han documentado explotaciones mediante el envío de archivos maliciosos que, al ser visualizados en el panel de vista previa de File Explorer, desencadenan llamadas a recursos remotos o ejecutan macros y scripts embebidos. Destaca el uso de rutas UNC para provocar la autenticación automática de Windows (NTLM), permitiendo la captura de hashes y su posterior crackeo offline a través de herramientas como Hashcat o John the Ripper.

#### 3. Detalles Técnicos

La actualización anunciada por Microsoft afecta a Windows 11 y versiones soportadas de Windows 10, específicamente a partir de las compilaciones de canal Insider (Build 22635.3640 y posteriores). La funcionalidad consiste en bloquear automáticamente la generación de vistas previas para archivos que posean la marca de zona «Internet» (Mark of the Web, MotW), una metadata añadida por el sistema al descargar contenido desde fuentes externas a través de navegadores, clientes de correo o aplicaciones.

**CVE y Vectores de Ataque:**
Aunque esta mitigación no corresponde a un CVE específico, sí responde a una cadena de explotación ampliamente documentada en campañas APT —como FIN7 o TA505— que emplean archivos LNK, ZIP o documentos Office manipulados. El vector más común consiste en colocar un archivo en un recurso SMB remoto o exfiltrar credenciales mediante el disparo de autenticación NTLM al previsualizar el archivo.

**TTPs (MITRE ATT&CK):**
– **T1204.002 User Execution: Malicious File**
– **T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay**
– **T1187 Forced Authentication**

**IoCs y Herramientas:**
– Archivos con MotW (`Zone.Identifier`)
– Uso de rutas UNC (`\malicious.serversharefile`)
– Herramientas de explotación: Metasploit (módulos SMB Capture), Cobalt Strike (beacons para credential harvesting), Responder, Inveigh.

#### 4. Impacto y Riesgos

El impacto de este vector de ataque es crítico en entornos empresariales, ya que la simple acción de seleccionar un archivo descargado en File Explorer podía desencadenar el compromiso de credenciales de dominio, escalada de privilegios y movimiento lateral. Se estima que más del 70% de los ataques de credential harvesting en Windows explotan la autenticación NTLM y el abuso de recursos compartidos.

En términos económicos, el robo de credenciales es uno de los principales vectores de brechas de seguridad, con un coste medio de 4,45 millones de dólares por incidente según el último informe de IBM X-Force. Además, el incumplimiento de regulaciones como GDPR o NIS2 por fugas de datos puede derivar en sanciones de hasta el 4% de la facturación anual.

#### 5. Medidas de Mitigación y Recomendaciones

Microsoft recomienda a los administradores de sistemas y equipos de seguridad:

– Aplicar las últimas actualizaciones de seguridad y verificar la presencia de la funcionalidad en los endpoints.
– Desplegar políticas de grupo (GPO) para restringir la ejecución de vistas previas en carpetas de alto riesgo.
– Implementar controles de aplicación (AppLocker, WDAC) para limitar la ejecución de archivos desde ubicaciones no confiables.
– Reforzar la segmentación de red y bloquear autenticaciones NTLM desde redes externas.
– Monitorizar logs de Windows Event Viewer para detectar intentos de acceso a recursos remotos no autorizados.

#### 6. Opinión de Expertos

Investigadores de seguridad y analistas SOC consideran este movimiento de Microsoft como una respuesta necesaria ante la sofisticación de ataques basados en ingeniería social. “El bloqueo automático de vistas previas para archivos descargados elimina una superficie de ataque históricamente subestimada, pero muy efectiva”, señala Pablo González, pentester y formador en hacking ético. No obstante, advierte que “es fundamental complementar esta medida con formación continua a usuarios y controles de detección en el endpoint”.

#### 7. Implicaciones para Empresas y Usuarios

Las organizaciones deben revisar sus políticas de seguridad y actualizar los procedimientos de gestión de archivos descargados. El cambio implica una reducción del riesgo, especialmente en departamentos con alta exposición a phishing o manipulación de documentos (finanzas, recursos humanos). Además, obliga a revisar flujos de trabajo y automatizaciones que dependan de la vista previa de archivos.

Para los usuarios, la experiencia puede verse mínimamente alterada, ya que algunos archivos legítimos requerirán descarga y apertura manual para su inspección. Sin embargo, el beneficio en términos de reducción de incidentes supera con creces las molestias operativas.

#### 8. Conclusiones

La decisión de Microsoft de bloquear la vista previa automática de archivos descargados en File Explorer representa un avance relevante en la defensa frente a ataques de credential harvesting y ejecución de código. Esta medida, alineada con las tendencias de endurecimiento del sistema operativo y Zero Trust, refuerza la importancia de la gestión de la cadena de confianza en el manejo de archivos y la necesidad de adoptar un enfoque integral de defensa en profundidad.

(Fuente: www.bleepingcomputer.com)