Según informó la compañía, BadSuccessor explota las cuentas de servicio administradas delegadas (dMSA), una nueva funcionalidad de Windows Server 2025 diseñada para mejorar la seguridad de las cuentas de servicio. Los investigadores de Akamai han demostrado cómo los atacantes pueden abusar de las dMSA para suplantar a usuarios con altos privilegios en Active Directory (AD), incluidos los administradores de dominio (Domain Admins), sin que exista actualmente un parche disponible.

Este vector de explotación de alta gravedad pone de manifiesto un desafío que viene afrontando la seguridad de identidad empresarial desde hace tiempo: la gestión de cuentas de servicio. Estas cuentas a menudo operan con privilegios excesivos o no monitoreados, lo que crea rutas de ataque ocultas susceptibles de ser explotadas.

En respuesta, Semperis ha actualizado su plataforma DSP con un nuevo Indicador de Exposición (IOE) y tres Indicadores de Compromiso (IOC) para detectar comportamientos anómalos relacionados con las dMSA. Estos indicadores ayudan a los equipos de seguridad a identificar derechos de delegación excesivos, enlaces maliciosos entre dMSA y cuentas privilegiadas, así como intentos de comprometer cuentas sensibles como KRBTGT.

“Semperis ha actuado rápidamente para convertir la vulnerabilidad en capacidades reales de detección para los defensores, demostrando cómo la colaboración entre investigadores y proveedores puede generar un impacto significativo y rápido”, ha afirmado Yuval Gordon, investigador de seguridad en Akamai. “El abuso de cuentas de servicio es una preocupación creciente, y esta vulnerabilidad de alto perfil es una llamada de atención”.

“Las cuentas de servicio siguen siendo uno de los activos más poderosos y menos controlados en los entornos empresariales”, ha comentado Tomer Nahum, investigador de seguridad en Semperis. “Esta colaboración con Akamai nos ha permitido cerrar brechas de detección rápidamente y brindar visibilidad a los defensores en un área de Active Directory profundamente compleja que los atacantes siguen explotando”.