Coacción de autenticación remota: PetitPotam, DFSCoerce y defensas RPC

La coacción de autenticación no es una vulnerabilidad en un software externo, sino el abuso de interfaces RPC legítimas expuestas por los propios protocolos de red de Windows (como MS-EFSRPC, MS-DFSNM o MS-RPRN).

Estas interfaces permiten que un usuario autenticado (incluso con privilegios mínimos en el dominio) invoque un método que solicita al servidor remoto abrir un recurso o sincronizar datos contra una ruta UNC especificada. Al intentar resolver esa ruta, el servidor atacado inicia de forma inmediata una conexión autenticada utilizando su cuenta de máquina (por ejemplo, DC01$).

Entre los vectores de coacción más conocidos destaca PetitPotam (MS-EFSRPC), que abusa de funciones de cifrado de archivos en red como EfsRpcOpenFileRaw. Incluso en entornos donde el servicio de spooler de impresión (PrinterBug / MS-RPRN) se encontraba deshabilitado, PetitPotam demostró que los controladores de dominio seguían respondiendo llamadas RPC en interfaces no protegidas.

De manera similar, métodos como DFSCoerce abusan del protocolo del sistema distribuido de archivos (MS-DFSNM) para inducir autenticaciones forzadas a través de llamadas RPC estándar sin necesidad de privilegios especiales.

Por sí sola, la coacción solo genera un intento de conexión. La gravedad extrema ocurre cuando esa petición se canaliza hacia un ataque de retransmisión NTLM (NTLM Relay). Dado que el tráfico forzado desde el controlador de dominio a menudo viaja por HTTP o SMB sin firma obligatoria, el atacante puede capturarlo con ntlmrelayx y retransmitirlo hacia los servicios web de AD CS (vector ESC8).

Al completarse el relé, la CA emite un certificado digital para la cuenta de computadora del controlador de dominio (DC01$), el cual es utilizado de inmediato mediante PKINIT para solicitar un TGT de controlador y ejecutar un ataque DCSync en cuestión de segundos.

Para erradicar estos ataques de forma integral, no basta con parches puntuales: se deben implementar controles estructurales contra el relé y la coacción. En primer lugar, habilitar la firma obligatoria en SMB (SMB Signing) y en LDAP (LDAP Signing y Channel Binding).

En segundo lugar, exigir Extended Protection for Authentication (EPA) en todos los endpoints HTTP de la PKI o deshabilitar directamente las interfaces web de certificación innecesarias (CES/NDES). Finalmente, los administradores pueden aplicar filtros de cortafuegos de RPC de Windows para bloquear llamadas anónimas o restringidas a interfaces como EFSRPC.