Por qué Windows identifica aplicaciones aleatorias como amenazas

Algunos propietarios de PC con Windows se despertaron a principios de esta semana y descubrieron que sus computadoras de repente recibían mensajes de spam advirtiendo a Windows Defender sobre una nueva "HackTool" llamada WinRing0. Si bien estas advertencias son ciertamente alarmantes, es probable que su computadora no esté siendo atacada, al menos no todavía. Pero eso no significa que debas ignorar las advertencias.

¿Por qué WinRing0 comenzó a activar Windows Defender?

El problema con alertas aleatorias como esta es que no siempre está claro cuál es la amenaza o por qué Defender la considera una amenaza. En el caso de WinRing0, se debió a un exploit en este software a nivel de kernel que previamente estaba vinculado a un malware peligroso (como informó BleepingComputer).

Básicamente, tener acceso a nivel de kernel significa que WinRing0 tiene acceso a los componentes y recursos principales del sistema operativo. Es una apuesta peligrosa si el software puede ser explotado de alguna manera, y parece que WinRing0 ha sido el principal impulsor de cómo el malware SteelFox opera y obtiene acceso a los sistemas infectados.

Incluso si se ha tomado el esfuerzo de reforzar la seguridad de su PC con Windows con Defender, malware como SteelFox aún puede usar la vulnerabilidad encontrada en WinRing0 para eludir sus protecciones.

Otro gran problema con software como WinRing0 es que tiende a aparecer en muchos programas diferentes. Ese es el caso de esta última advertencia de Windows Defender, que según The Verge es parte de una serie de aplicaciones de control de ventiladores de PC ampliamente utilizadas, incluida Fan Control, que se mencionó hace unos años.

Windows Defender también parece activar la advertencia si tienes instalado otro software de monitoreo de terceros, incluido Libre Hardware Monitor, MSI Afterburner , SteelSeries Engine, Razer Synapse, OmenMon, etc.

Esto no es sorprendente.

El impacto general de esto en el software de monitoreo como Afterburner y Fan Control es claro. A menos que Microsoft proporcione alguna manera para que estas aplicaciones accedan a esos permisos de bajo nivel en el futuro, estará asumiendo un gran riesgo de seguridad al instalar y usar cualquiera de ellas.

Sin embargo, la medida no es del todo inesperada. El incidente masivo de CrowdStrike del año pasado tuvo consecuencias nefastas para muchas empresas, incluidas algunas dedicadas al sector sanitario. Desde ese incidente, Microsoft ha estado bajo mucha presión para cerrar agujeros de seguridad que no deberían existir, como el que WinRing0 usó para acceder a privilegios de nivel de kernel.

No está claro por qué Microsoft tardó tanto en solucionar el problema WinRing0. Sin embargo, esto no significa que el software que lo utiliza sea completamente inútil. Aún puedes usarlos si lo deseas. Sin embargo, es muy probable que ponga en riesgo su sistema al hacerlo.

Desafortunadamente existe una solución, pero las posibilidades de éxito son muy bajas. Según los comentarios en GitHub, la vulnerabilidad encontrada en WinRing0 ha sido parcheada. Sin embargo, es poco probable que Microsoft apruebe y firme esa versión, ya que la comunidad de código abierto que está detrás de ella no cree tener los medios necesarios para lograr que Microsoft firme la última versión. Y sin la firma de Microsoft, no podrás instalarlo en tu sistema Windows.

La única otra alternativa es que cada uno de estos desarrolladores de aplicaciones cree su propio software para acceder a los permisos a nivel de kernel. Pero es una iniciativa costosa que muchos de ellos no pueden permitirse. Incluso si lo hicieran, probablemente se generarían costos adicionales para los usuarios de su software a través de las compras de software.

Si usa alguno de los software de monitoreo mencionados anteriormente o si nota que Windows Defender le advierte sobre WinRing0 en su sistema, entonces probablemente no haya nada de qué preocuparse por ahora. Sin embargo, es mejor prevenir que curar, especialmente cuando se trata de software con acceso a nivel de kernel como este.