Microsoft había descubierto cinco fallos en el controlador Paragon Partition Manager BioNTdrv.sys, uno de ellos utilizado por bandas de ransomware en ataques de zero-day para obtener privilegios de SISTEMA en Windows.
Los controladores vulnerables fueron explotados en ataques "Bring Your Own Vulnerable Driver" (BYOVD) en los que los actores de amenazas dejan caer el controlador del kernel en un sistema objetivo para elevar privilegios.
"Un atacante con acceso local a un dispositivo puede explotar estas vulnerabilidades para elevar privilegios o provocar un escenario de denegación de servicio (DoS) en la máquina de la víctima", explica una advertencia del CERT/CC.
"Además, como el ataque involucra un Driver firmado por Microsoft, un atacante puede aprovechar una técnica Bring Your Own Vulnerable Driver (BYOVD) para explotar sistemas incluso si Paragon Partition Manager no está instalado. "
Como BioNTdrv.sys es un controlador a nivel de kernel, los actores de amenazas pueden explotar las vulnerabilidades para ejecutar comandos con los mismos privilegios que el controlador, eludiendo las protecciones y el software de seguridad.
Los investigadores de Microsoft descubrieron los cinco fallos y señalaron que uno de ellos, CVE-2025-0289, se aprovecha en ataques de grupos de ransomware. Sin embargo, los investigadores no revelaron qué bandas de ransomware explotaban el fallo como zero-day.
"Microsoft ha observado a actores de amenazas (TAs) explotando esta debilidad en ataques de ransomware BYOVD, específicamente usando CVE-2025-0289 para lograr la escalada de privilegios a nivel de SISTEMA, para luego ejecutar más código malicioso", se lee en el boletín del CERT/CC.
"Estas vulnerabilidades han sido parcheadas tanto por Paragon Software, como por las versiones vulnerables de BioNTdrv.sys bloqueadas por la Vulnerable Driver Blocklist de Microsoft".
Los fallos de Paragon Partition Manager descubiertos por Microsoft son:
- CVE-2025-0288 - Escritura arbitraria en la memoria del kernel causada por el manejo inadecuado de la función 'memmove', permitiendo a los atacantes escribir en la memoria del kernel y escalar privilegios.
- CVE-2025-0287 - Derivación de puntero nulo causada por la falta de validación de una estructura 'MasterLrp' en el buffer de entrada, permitiendo la ejecución de código arbitrario del kernel.
- CVE-2025-0286 - Escritura arbitraria en memoria del kernel causada por la incorrecta validación de longitudes de datos suministrados por el usuario, permitiendo a los atacantes ejecutar código arbitrario.
- CVE-2025-0285 - Asignación arbitraria de memoria del kernel causada por la falta de validación de los datos suministrados por el usuario, permitiendo la escalada de privilegios mediante la manipulación de las asignaciones de memoria del kernel.
- CVE-2025-0289 - Acceso inseguro a recursos del kernel causado por la falla en la validación del puntero 'MappedSystemVa' antes de pasarlo a 'HalReturnToFirmware', llevando a un potencial compromiso de los recursos del sistema.
Las cuatro primeras vulnerabilidades afectan a las versiones 7.9.1 y anteriores de Paragon Partition Manager, mientras que CVE-2025-0298, el fallo activamente explotado, afecta a la versión 17 y anteriores.
Se recomienda a los usuarios del software que actualicen a la última versión, que contiene la versión 2.0.0 de BioNTdrv.sys, que soluciona todos los fallos mencionados.
Sin embargo, es importante señalar que incluso los usuarios que no tienen instalado Paragon Partition Manager no están a salvo de los ataques. Las tácticas BYOVD no dependen de que el software esté presente en la máquina del objetivo.
En su lugar, las amenazas incluyen el controlador vulnerable con sus propias herramientas, lo que les permite cargarlo en Windows y escalar privilegios.
Microsoft ha actualizado su "Vulnerable Driver Blocklist" para bloquear la carga del controlador en Windows, por lo que los usuarios y las organizaciones deben comprobar que el sistema de protección está activo.
Puede comprobar si la lista de bloqueo está activada accediendo a Configuración ? Privacidad y seguridad ? Seguridad de Windows ? Seguridad de dispositivos ? Aislamiento del núcleo ? Lista de bloqueo de controladores vulnerables de Microsoft y asegurándose de que el ajuste está activado.
Configuración de Windows para la lista de bloqueo de controladores vulnerables
Fuente: BleepingComputer
Una advertencia en el sitio de Paragon Software también advierte que los usuarios deben actualizar Paragon Hard Disk Manager antes de hoy, ya que utiliza el mismo controlador, que será bloqueado por Microsoft hoy.
Aunque no está claro qué bandas de ransomware están explotando el fallo de Paragon, los ataques BYOVD se han hecho cada vez más populares entre los ciberdelincuentes, ya que les permiten obtener fácilmente privilegios de SISTEMA en dispositivos Windows.
Entre los actores de amenazas conocidos por utilizar ataques BYOVD se encuentran Scattered Spider, Lazarus, BlackByte ransomware, LockBit ransomware y muchos más.
Por esta razón, es importante activar la función Microsoft Vulnerable Driver Blocklist para evitar que se utilicen controladores vulnerables en sus dispositivos Windows.
Fuente: bleepingcomputer