Semperis y Akamai se alían para frenar una grave vulnerabilidad en Active Directory

La ciberseguridad empresarial vuelve a estar en el punto de mira con el descubrimiento de BadSuccessor, una nueva técnica de escalado de privilegios que afecta directamente a entornos Active Directory ejecutados en Windows Server 2025. Esta vulnerabilidad crítica, aún sin solución oficial por parte de Microsoft, permite a los atacantes asumir identidades de alto privilegio —como administradores de dominio— aprovechando una funcionalidad recién introducida: las cuentas de servicio administradas delegadas (dMSA).

El hallazgo fue realizado por el equipo de investigación de Akamai, que alertó de inmediato a Semperis, especialista en protección de identidad y resiliencia cibernética. La colaboración entre ambos ha dado como resultado una rápida mejora de la plataforma Directory Services Protector (DSP) de Semperis, que ahora incluye mecanismos específicos para detectar y mitigar esta amenaza antes de que se materialice.

Entre las capacidades añadidas destacan un Indicador de Exposición (IOE) y tres Indicadores de Compromiso (IOC) que permiten:

• Identificar delegaciones de permisos anómalas.
• Detectar enlaces indebidos entre cuentas privilegiadas y dMSA.
• Monitorizar actividades sospechosas sobre cuentas sensibles como KRBTGT.

“Semperis ha convertido la vulnerabilidad en capacidades reales de defensa para los equipos de seguridad, demostrando el valor de la colaboración directa entre investigadores y proveedores”, explicó Yuval Gordon, investigador de seguridad en Akamai.

Por su parte, Tomer Nahum, investigador en Semperis, advirtió que “las cuentas de servicio son uno de los activos más poderosos y menos controlados en los entornos corporativos”. Para él, esta actuación conjunta ha sido clave para aportar visibilidad en una zona del Active Directory especialmente crítica y compleja.

La vulnerabilidad afecta a cualquier organización que utilice al menos un controlador de dominio con Windows Server 2025. El simple hecho de tener uno mal configurado puede abrir la puerta a ataques a gran escala. Hasta que Microsoft publique un parche oficial, se recomienda auditar los permisos de las dMSA y utilizar herramientas de detección mejoradas como las de Semperis.

Semperis protege actualmente más de 100 millones de identidades en entornos híbridos y multicloud, y apoya a la comunidad a través de iniciativas como el evento Hybrid Identity Protection, su podcast HIP y herramientas gratuitas como Purple Knight o Forest Druid.