Delegación sin restricciones y el abuso del servicio Spooler

Cuando una cuenta de máquina o de servicio tiene activada la opción 'Trust this computer for delegation to any service' (Unconstrained Delegation), Kerberos asume máxima confianza. Cuando un usuario legítimo se autentica contra ese servidor, el KDC incluye una copia completa del ticket TGT del usuario dentro del ticket de servicio. El servidor de destino extrae ese TGT y lo almacena en la memoria de su proceso LSASS para poder reusarlo ante cualquier otro servidor de la red. Si un atacante compromete esa máquina, puede extraer todos los TGTs residentes en memoria.

En 2018 se demostró que el servicio de cola de impresión de Windows (Print Spooler) incluye una función expuesta por RPC llamada RpcRemoteFindFirstPrinterChangeNotificationEx. Esta función permite a cualquier usuario autenticado del dominio pedirle a un servidor que verifique un cambio de impresora. Al hacerlo, el servidor destino intenta autenticarse por SMB contra la máquina que le indicó el usuario, utilizando su propia cuenta de máquina (por ejemplo, DC01$). Esta técnica se conoce como forzado de autenticación o PrinterBug.

Al unir ambas piezas surge uno de los ataques clásicos más potentes de Active Directory: un atacante compromete un servidor ordinario que tiene Unconstrained Delegation habilitada. A continuación, invoca el PrinterBug contra el controlador de dominio primario, obligándolo a conectarse hacia ese servidor comprometido. Al conectarse, el controlador entrega su propio TGT de máquina (DC01$). El atacante extrae ese TGT de la memoria LSASS y, como la cuenta DC01$ tiene derechos de replicación completos sobre el dominio, ejecuta inmediatamente un DCSync para tomar el control total.

Para erradicar este vector, la recomendación de endurecimiento de Microsoft y los estándares de la industria es taxativa: 1) Deshabilitar completamente el servicio Print Spooler en todos los controladores de dominio, ya que un servidor de directorio nunca necesita actuar como servidor de impresión de oficina. 2) Migrar cualquier delegación antigua a Delegación Restringida basada en Recursos (RBCD). 3) Marcar todas las cuentas privilegiadas con la bandera 'Account is sensitive and cannot be delegated'.