Zero-Day sin parchear en Windows 10 corrompe el disco duro con una sola linea de comando

Recientemente un experto en ciberseguridad ha revelado detalles sobre una vulnerabilidad Zero-Day que afecta a los sistemas Microsoft Windows 10, la explotación exitosa de la falla puede permitir a un atacante con acceso al Command Prompt (CMD), corromper un Disco Duro con formato NTFS al ejecutar una única linea de comando.

Un grupo de expertos con el fin de confirmar la severidad de la vulnerabilidad, realizaron múltiples pruebas, enviando y ejecutando esta linea de comandos desde diferentes archivos, como de acceso directo, archivos comprimidos .ZIP, entre otros vectores de ataques utilizados para disparar los errores de disco duro que corrompe el index del filesystem al instante.

El investigador ha advertido en anteriores ocasiones sobre la vulnerabilidad, la cual actualmente aún no ha sido abordada. La peor parte es que puede ser disparada por cuentas de usuario con privilegios estándar o bajos en el sistema Windows.

Advertencia: Ejecutar el comando indicado en un sistema puede corromper la unidad de disco duro, haciendo que no pueda acceder a él. Se recomienda encarecidamente que pruebe este comando en solo en una máquina virtual que pueda ser restaurada con un backup realizado anteriormente, en caso que el disco duro se corrompa.

cd c:\\:$i30:$bitmap

El atributo Index NTFS de Windows, o la cadena “$i30”, es un atributo NTFS asociado con directorios que contienen una lista de los archivos y subcarpetas de los directorios. En ocasiones, el Index NTFS suele incluir archivos y carpetas eliminados, utilizado cuando se realiza una respuesta ante incidente o análisis forense.

Según el experto, aún no sabe el motivo por el que el acceso a este atributo corrompe la unidad y destaca que una “Registry Key” puede ayudar a diagnosticar el problema, pero no funciona.

El comportamiento del sistema una vez es ejecutado el comando, es la visualización de notificaciones y mensajes de Windows advirtiendo que “El archivo o directorio está corrompido y es inalcanzable”. El sistema solicita el reinicio del sistema, con el fin de reparar la partición del disco corrompido, durante el reinicio, se inicia el chequeo de la unidad e inicia a reparar el disco duro, luego de esto, el sistema Windows generará errores en el “Event log”, indicando que la Master File Table (MFT) para la unidad corrompida (en la imagen ejemplo es “C:”) contiene un registro dañado.

Error mostrado por el Event Log

Entre las diferentes pruebas que el experto realizó, destaca el vector de ataque mediante un archivo de acceso directo de Windows especialmente diseñado (.url), con la localización del icono establecida “C:\:$i30:$bitmap” pudiendo disparar la vulnerabilidad sin la interacción del usuario (Zero-click), el ataque inicia desde el momento en que el usuario descarga el acceso directo y entra en la ubicación del archivo, el explorador de Windows por defecto intenta mostrar el icono del archivo, accediendo en segundo plano a la ruta establecida para el icono del acceso directo, ejecutando la linea de comando y corrompiendo el disco duro en el proceso.

Lamentablemente, Microsoft aún no ha abordado esta vulnerabilidad, algo bastante extraño, sobre todo cuando el experto ha advertido al gigante corporativo sobre ella en anteriores ocasiones.

Referencia:

Windows 10 bug corrupts your hard drive on seeing this file's icon