Detalles bajo la lupa
¿Quién ha cambiado la contraseña del Administrador?
Los controles de acceso físico son una parte de la seguridad que habitualmente se pasa por alto en pequeñas empresas. El servidor (o servidores) de la empresa suelen estar accesibles a cualquier empleado de la organización en algunos casos. No es una suposición, es una afirmación y constatación de hechos.
Sin acceso
Recientemente me encontré con un equipo servidor, con sistema operativo Windows Server 2012 R2 Standard, al cual no se podía iniciar la sesión como Administrador. La contraseña que “tenían apuntada” no funcionaba. Nadie sabía que había pasado, y además este servidor no tenía ninguna otra cuenta creada para acceder a él.
El control de acceso físico
Era más que evidente que el control de acceso físico a este servidor había fallado. Mejor dicho, era inexistente. Y por lo tanto alguien podía haber accedido al sistema y cambiar la contraseña.
Pero…, ¿cómo lo pudo hacer? 🤔
Se desconoce quién y cómo pudo cambiar la contraseña, y es difícil aventurar si fue un acto de mala fe, un descuido, un ataque malicioso, o una venganza de alguien. No entraré en estos detalles.
Lo que sí puedo afirmar es que el procedimiento que llevé a cabo para poder recuperar el control del servidor es el mismo que podría haber llevado a cabo un atacante con malas intenciones y con acceso físico al servidor.
Por lo tanto, el lector debe de entender que estas técnicas que nos sirven para sacarnos de un problema, también son las mismas que nos lo pueden provocar y se debería de prestar mucha atención a la cuestión del acceso físico y controlado a los servidores.
Recreación de los hechos
Para mostrar los pasos que llevé a cabo, he recreado los hechos sobre una máquina virtual en VirtualBox, pero no difieren en nada de la realidad, excepto en la virtualización del sistema y las unidades de acceso a este.
Necesitamos recuperar el acceso
Tenemos pues, un sistema del que desconocemos la contraseña del Administrador y sin mecanismos legítimos para recuperarla. Por lo tanto, tenemos que buscar un camino alternativo, arrancar con un sistema desde la unidad de CD-ROM (o DVD-ROM), y después, ¿qué? 🙄
Vayamos por partes.
Creando un disco de arranque con WinPE
Lo que necesitamos en primera instancia es un CD de arranque con Windows PE. En esta recreación no quemaremos el CD y haremos simplemente una imagen ISO.
Windows PE (WinPE) es un pequeño sistema operativo que se utiliza para instalar, implementar y reparar Windows 10, Windows Server y otros sistemas operativos de Windows.
Creando el medio de arranque con WinPE
Una vez instaladas las herramientas, cargamos el “Entorno de herramientas de implementación y creación de imágenes”, y empezamos creando la lista de ficheros que necesitaremos.
Empezamos por crear una copia de trabajo con los archivos necesarios para crear la imagen ISO. Los archivos se crearán en la carpeta c:\WinPE
copype amd64 C:\WinPE
Ahora añadimos el soporte de PowerShell y otras herramientas que nos podrían ser útiles para tareas de automatización, aunque para este caso no son imprescindibles.
Finalmente, creamos la imagen ISO
MakeWinPEMedia /ISO C:\WinPE C:\WinPE\WinPE_amd64.iso
Arrancando WinPE
Ahora tenemos que arrancar con esta imagen que hemos generado, y por lo tanto hay que modificar la configuración de la VM para que cargue esta imagen dentro de la unidad virtual de CD-ROM.
Iniciamos el sistema arrancando desde dicha unidad, y seguidamente identificamos la unidad correspondiente al Sistema Operativo y accedemos a la carpeta \Windows\System32.
La Lupa es nuestra amiga
Las herramientas de accesibilidad son muy útiles, tanto para los que necesitan ampliar la pantalla porque su cansada vista lo necesita, como para los que necesitan acceder a un sistema utilizando una vía poco habitual.
Get Gabriel Martí’s stories in your inbox
Join Medium for free to get updates from this writer.
Estas opciones de accesibilidad están disponibles en la pantalla de inicio de sesión, y entre ellas, está la Lupa.
Así que vamos a proceder a con un pequeño cambio en nuestro sistema.
El ejecutable de la lupa de Windows es “Magnify.exe”, así que lo buscamos, aunque ya os digo que está en la carpeta \Windows\System32.
Renombramos “Magnify.exe” con otro nombre para preservarlo, por ejemplo “Magnify_original.exe”. Y seguidamente copiamos el ejecutable de la consola de comandos “cmd.exe” para que también exista con el nombre “Magnify.exe”.
ren Magnify.exe Magnify_original.exe
copy cmd.exe Magnify.exe
Nuevo reinicio
Tras reiniciar de nuevo el sistema, en el que seguimos sin saber la contraseña, solo tenemos que invocar la Lupa. Bien, a través de la opción que aparece en la esquina inferior izquierda de pantalla, o a través de la combinación de teclas “Windows” y “+”, y mágicamente nos va a aparecer una ventana de consola. 😬
Establecer nueva contraseña para el Administrador
Ya solo nos queda cambiar la contraseña del Administrador. ¿Podremos?
Veamos… solo hay que solicitar al sistema que queremos cambiar la contraseña.
net user Administrador *
Y parece ser que sí, nos deja establecer una nueva contraseña. 😁
Estamos dentro
Tras cambiar la contraseña, ni tan siquiera es necesario reiniciar el equipo. Cerramos la consola y ponemos la nueva contraseña en la pantalla de Inicio de Sesión y ya estamos dentro.
No os olvidéis, una vez retomado el control volver a dejar los archivos como estaban, o el sistema va a estar expuesto a cualquier cambio de contraseña en cualquier momento.
La lección
La lección que pretende dar este pequeño escrito, no se refiere a como recuperar la cuenta de Administrador de nuestro sistema, aunque es lo que se muestra, sino que el control de acceso físico a los sistemas es un aspecto que no debe de descuidarse nunca.
El problema no está en que hayan cambiado la contraseña del Administrador. El problema está en que con este acceso podrían haber accedido a datos confidenciales o sensibles, y/o que podrían haber insertado un malware que se propagara por la red, afectando de esta manera a toda una organización.
Otros artículos que te podrían interesar
Te dejo a continuación otros artículos míos relacionados con la Ciberseguridad que a lo mejor te pueden interesar:
- La privacidad está en manos de todos
- ¡¡¡Validad los datos en el lado del servidor, maldita sea!!!
- ¿Por qué tu amigo abogado se cree informaciones falsas?
- ¡¡¡No caigas en la trampa!!!
- ¿Tienes fantasmas en tu red?
- WordPress, la zona de juego de los Ciberdelincuentes (Parte I)
- Intentando analizar (sin mucho éxito) un documento Word Malicioso
