Saltar al contenido principal

Lab 2.1: Bypass de Contraseña de Windows

Objetivos de Aprendizaje​

Al finalizar este laboratorio, usted será capaz de:

  • Restablecer una contraseña de Windows sin conocerla
  • Obtener acceso de administrador en un sistema Windows
  • Comprender los límites de la seguridad de Windows sin cifrado
  • Evaluar la importancia de la seguridad física
  • Aplicar medidas de protección adecuadas

Duración Estimada​

30 minutos

Requisitos Previos​

  • Una VM Windows 10/11 funcional (creada en windows_vm.mdx)
  • VirtualBox o VMware instalado
  • Cuenta de usuario con contraseña en la VM

Contexto Profesional​

En un contexto profesional, ocurre regularmente que:

  • Un empleado olvida su contraseña
  • Un antiguo administrador se fue sin dejar los accesos
  • Un sistema debe ser recuperado tras un incidente

Este laboratorio le enseña técnicas legítimas de recuperación de acceso al sistema. Estas mismas técnicas pueden ser usadas de manera maliciosa, por lo que es importante comprender las protecciones necesarias.

Casos de uso legítimos:

  • Soporte técnico y helpdesk
  • Recuperación de sistemas
  • Investigación forense con autorización
  • Pruebas de seguridad autorizadas

IMPORTANTE - LEA ANTES DE COMENZAR:

Las técnicas de este laboratorio permiten eludir la autenticación de Windows. Se enseñan en un marco de aprendizaje de la seguridad de sistemas.

AUTORIZADO:

  • En su propia VM de prueba
  • En sistemas de su propiedad
  • En el marco de un mandato de investigación con autorización escrita
  • Para recuperación legítima de acceso perdido

PROHIBIDO E ILEGAL:

  • En el ordenador de otra persona sin autorización
  • En sistemas empresariales sin mandato explícito
  • Para acceder a datos confidenciales sin derecho
  • Con el fin de dañar o robar información

Consecuencias: Acceso no autorizado = Delito (Código Penal canadiense, artículos 342.1 y 430)

Al realizar este laboratorio, usted se compromete a utilizar este conocimiento de manera ética y legal.

Preparación de la VM de Prueba​

Paso 0.1: Crear un Snapshot de Seguridad​

IMPORTANTE: ¡Antes de comenzar, cree un snapshot de su VM!

En VirtualBox:

  1. Seleccione su VM Windows
  2. Haga clic en Máquina → Tomar instantánea (o icono de cámara)
  3. Nombre: "ANTES_LAB_BYPASS"
  4. Haga clic en OK

¿Por qué? Si algo sale mal, podrá volver a este estado en 10 segundos.

Paso 0.2: Crear una Cuenta de Prueba​

En su VM Windows:

  1. Inicie normalmente
  2. Abra Configuración → Cuentas → Familia y otros usuarios
  3. Haga clic en Agregar otro usuario a este PC
  4. Sin cuenta Microsoft → Cree una cuenta local
    • Nombre: TestUser
    • Contraseña: Password123!
  5. Anote esta contraseña en algún lugar

¡Ahora vamos a "olvidar" esta contraseña y eludirla!

Método 1: Reemplazo de Utilman.exe (Clásico)​

Paso 1.1: Comprender Utilman.exe​

Utilman.exe es el "Administrador de utilidades" de Windows que se ejecuta:

  • En la pantalla de inicio de sesión (¡antes del login!)
  • Con privilegios SYSTEM (¡más poderoso que admin!)
  • Accesible mediante el icono de accesibilidad (esquina inferior derecha)

El truco: Reemplazar utilman.exe por cmd.exe

  • Resultado: Hacer clic en accesibilidad = cmd como SYSTEM
  • ¡Con cmd en SYSTEM, se puede hacer todo!

Paso 1.2: Acceder a los Archivos del Sistema​

En su VM:

  1. Apague la VM Windows (apagado completo)

  2. Inicie en Modo Recuperación:

    • Inicie la VM
    • Tan pronto como aparezca el logo de Windows, apague bruscamente la VM (Ctrl+C o botón de apagado)
    • Repita 2-3 veces
    • Windows debería mostrar "Preparando reparación automática"
    • Haga clic en Opciones avanzadas

    O (método limpio):

    • Inicie la VM
    • En el momento del login, haga clic en Energía y mantenga presionado Shift y haga clic en Reiniciar
    • Elegir Solucionar problemas → Opciones avanzadas → Símbolo del sistema

  3. ¡Ahora está en un símbolo del sistema en modo recuperación!

Paso 1.3: Identificar la Unidad Correcta​

En el símbolo del sistema de recuperación:

Ejecute:

diskpart
list volume
exit

Observe:

  • La unidad C: en modo recuperación NO es necesariamente su Windows
  • Busque el volumen con "NTFS" y tamaño correspondiente a su disco de Windows
  • Anote la letra de la unidad (a menudo D: o E: en modo recuperación)

Para probar qué unidad contiene Windows:

dir D:\Windows\System32

Si ve muchos archivos, ¡es la unidad correcta!

Preguntas:

  1. ¿Cuál es la unidad de su partición de Windows en modo recuperación?
  2. ¿Por qué la unidad cambia respecto al modo normal?

Paso 1.4: Respaldar y Reemplazar Utilman.exe​

Suponga que D: es su unidad de Windows.

Ejecute:

copy D:\Windows\System32\utilman.exe D:\Windows\System32\utilman.exe.bak
copy D:\Windows\System32\cmd.exe D:\Windows\System32\utilman.exe

Lo que acaba de hacer:

  1. Crear una copia de seguridad de utilman.exe (por si acaso)
  2. Reemplazar utilman.exe por cmd.exe

**¡Eso es todo! La "backdoor" está instalada.

Paso 1.5: Reiniciar y Probar​

  1. Cierre el símbolo del sistema
  2. Haga clic en Continuar (reinicio normal)
  3. La VM reinicia hasta la pantalla de inicio de sesión

En la pantalla de inicio de sesión:

  1. Haga clic en el icono de Facilidades de acceso (esquina inferior derecha)
  2. ¡MAGIA! ¡Se abre un símbolo del sistema!
  3. Este símbolo del sistema es como SYSTEM!

Verifique:

whoami

Debería mostrar: nt authority\system

Preguntas: 3. ¿Obtuvo un símbolo del sistema en la pantalla de login? 4. ¿Cuál es su nivel de privilegio (resultado de whoami)?

Paso 1.6: Restablecer la Contraseña​

En este símbolo del sistema SYSTEM:

Para ver todos los usuarios:

net user

Para restablecer la contraseña de TestUser:

net user TestUser NuevaContraseña123!

Alternativa - Eliminar la contraseña completamente:

net user TestUser ""

Preguntas: 5. ¿Logró cambiar la contraseña? 6. ¿Cuánto tiempo tomó toda la operación?

Paso 1.7: Inicie sesión con la Nueva Contraseña​

  1. Cierre el símbolo del sistema
  2. Haga clic en la cuenta TestUser
  3. Ingrese la nueva contraseña (o ninguna si fue eliminada)
  4. ¡Está conectado!

¡FELICITACIONES! ¡Acaba de eludir la autenticación de Windows!

Paso 1.8: Limpiar (Opcional)​

Una vez conectado, restaure el utilman.exe original:

Abra cmd como administrador:

copy C:\Windows\System32\utilman.exe.bak C:\Windows\System32\utilman.exe

(¡Si no lo hace, la backdoor permanece activa!)

Método 2: Backdoor de Sticky Keys (Alternativa)​

Este método es similar pero utiliza sethc.exe (Sticky Keys).

Paso 2.1: Principio​

Sticky Keys = Función de accesibilidad activada al presionar 5 veces Shift

El truco: Reemplazar sethc.exe por cmd.exe

  • Presionar 5x Shift = cmd como SYSTEM
  • ¡Funciona incluso en la pantalla de inicio de sesión!

Paso 2.2: Instalación de la Backdoor​

En modo recuperación (como método 1):

copy D:\Windows\System32\sethc.exe D:\Windows\System32\sethc.exe.bak
copy D:\Windows\System32\cmd.exe D:\Windows\System32\sethc.exe

Paso 2.3: Activación​

En la pantalla de inicio de sesión:

  1. Presione 5 veces la tecla Shift
  2. ¡Se abre un símbolo del sistema!
  3. Usted es SYSTEM
  4. Restablezca la contraseña como antes

Preguntas: 7. ¿Qué método prefiere (Utilman vs Sticky Keys)? 8. ¿Por qué un atacante podría preferir Sticky Keys?

Método 3: Modo Seguro + Administrador Integrado​

Este método explota la cuenta Administrador oculta de Windows.

Paso 3.1: Iniciar en Modo Seguro​

Desde la pantalla de inicio de sesión:

  1. Haga clic en Energía
  2. Mantenga presionado Shift y haga clic en Reiniciar
  3. Elegir Solucionar problemas → Opciones avanzadas → Configuración de inicio
  4. Haga clic en Reiniciar
  5. Presione 4 o F4 (Modo seguro)

Paso 3.2: Cuenta de Administrador Integrada​

En modo seguro:

  • Windows activa automáticamente la cuenta "Administrador" oculta
  • Esta cuenta a menudo NO tiene contraseña por defecto
  • Tiene todos los privilegios

Si aparece la cuenta Administrador:

  1. Haga clic en ella
  2. ¿Sin contraseña? Simplemente presione Enter
  3. ¡Está conectado como admin!

Paso 3.3: Modificar las Otras Cuentas​

Una vez conectado como Administrador:

Abra cmd:

net user TestUser NuevaContraseña

O mediante la interfaz gráfica:

  1. Panel de control → Cuentas de usuario
  2. Administrar otra cuenta
  3. Seleccionar TestUser → Cambiar la contraseña

Preguntas: 9. ¿La cuenta Administrador tenía contraseña? 10. ¿Este método le parece más simple o más complejo?

Parte 4: Implicaciones de Seguridad​

Paso 4.1: Tiempo Requerido para un Atacante​

Mida el tiempo:

Desde el momento en que tiene acceso físico a una máquina bloqueada hasta obtener acceso admin completo:

Método Utilman: ___ minutos Método Sticky Keys: ___ minutos Método Modo Seguro: ___ minutos

Promedio: Generalmente menos de 5 minutos para alguien que sabe cómo hacerlo.

Preguntas: 11. ¿Le sorprende la rapidez? 12. ¿Qué pasaría si alguien tuviera acceso físico a su ordenador durante 5 minutos?

Paso 4.2: Escenarios de Ataque Reales​

Escenario 1: Escritorio no bloqueado

  • Empleado va por un café (2 minutos)
  • Colega malicioso instala backdoor Sticky Keys
  • El empleado regresa, nada parece cambiado
  • Más tarde: Atacante presiona 5x Shift, obtiene SYSTEM

Escenario 2: Robo de portátil

  • Ordenador robado sin BitLocker
  • Ladrón inicia en modo recuperación
  • Acceso a TODOS los archivos en pocos minutos

Escenario 3: "Técnico" malicioso

  • Falso técnico IT solicita su ordenador
  • Instala backdoor en 2 minutos
  • Le devuelve el ordenador "reparado"
  • Backdoor permanente instalada

Preguntas: 13. ¿Cuál de estos escenarios le parece más probable? 14. ¿Cómo protegerse contra cada uno?

Paso 4.3: Por Qué Funcionan Estos Métodos​

Lo que ha aprendido:

  1. Acceso físico = Game Over (sin cifrado)

    • Si alguien puede tocar su ordenador, puede comprometerlo

  2. Windows almacena las contraseñas hasheadas

    • Pero con acceso SYSTEM, se pueden cambiar sin conocerlas

  3. El modo recuperación tiene demasiado poder

    • Necesario para soporte, pero es un riesgo de seguridad

  4. Los archivos del sistema son modificables

    • Si el disco no está cifrado

Preguntas: 15. ¿Por qué Windows permite estas técnicas de recuperación? 16. ¿Cómo podría Microsoft impedir estos bypasses?

Parte 5: Medidas de Protección​

Paso 5.1: BitLocker - Protección Definitiva​

BitLocker cifra todo el disco duro.

Con BitLocker activado:

  • Imposible acceder a los archivos sin la clave de descifrado
  • El modo recuperación no puede modificar los archivos
  • ¡Los métodos de bypass ya no funcionan!

Verificar si BitLocker está activado:

  1. Explorador de archivos
  2. Clic derecho en C:
  3. Si ve un candado cerrado = BitLocker activo

Activar BitLocker (solo Windows Pro):

  1. Configuración → Actualización y seguridad → Cifrado del dispositivo
  2. Activar BitLocker
  3. Guardar la clave de recuperación (¡IMPORTANTE!)

Preguntas: 17. ¿Está BitLocker activado en su VM? 18. ¿En su ordenador personal?

Paso 5.2: Contraseña BIOS/UEFI​

Protección a nivel firmware:

  1. Reinicie la VM
  2. Presione F2 o Del para entrar en BIOS
  3. Busque "Security" o "Password"
  4. Definir:
    • Supervisor Password (contraseña admin BIOS)
    • User Password (contraseña al arrancar)

Con contraseña BIOS:

  • Imposible arrancar en modo recuperación sin la contraseña
  • Protección adicional

ATENCIÓN: ¡No pierda esta contraseña! Muy difícil de recuperar.

Paso 5.3: Secure Boot​

Secure Boot verifica que solo los sistemas operativos firmados arranquen.

Protección contra:

  • Bootkit
  • Rootkit a nivel de arranque
  • Sistemas operativos no autorizados

Activar en BIOS:

  1. BIOS → Boot → Secure Boot
  2. Enabled

Limitación: Puede bloquear algunos sistemas operativos (Linux versiones antiguas)

Paso 5.4: Política de Seguridad Física​

Buenas prácticas organizacionales:

  1. Bloqueo automático

    • Windows + L sistemáticamente
    • Bloqueo tras 1 minuto de inactividad

  2. Nunca dejar un ordenador sin supervisión

    • Oficina, cafetería, biblioteca

  3. Cables antirrobo

    • Para portátiles en empresa

  4. Vigilancia por video

    • Zonas con equipos sensibles

  5. Acceso con credencial

    • Limitar acceso físico a servidores

Preguntas: 19. ¿Su ordenador se bloquea automáticamente? 20. ¿Después de cuánto tiempo?

Parte 6: Pruebas y Validación​

Paso 6.1: Probar con BitLocker Simulado​

En su VM:

  1. Restaure el utilman.exe original (si fue modificado)
  2. Cree un snapshot "ANTES_BITLOCKER"
  3. Cree un archivo "secret.txt" en el escritorio de TestUser
  4. Apague la VM

Simular cifrado:

  • Imagine que el disco está cifrado
  • En modo recuperación, no podría acceder a D:\Windows\System32
  • ¡Todos los métodos fallan!

Preguntas: 21. Sin BitLocker, ¿podría leer secret.txt? ¿Cómo? 22. ¿Con BitLocker, es posible?

Paso 6.2: Verificación de Backdoor​

¿Cómo detectar si hay una backdoor instalada?

Método 1 - Verificación manual:

dir C:\Windows\System32\utilman.exe
dir C:\Windows\System32\sethc.exe

Verifique el tamaño y la fecha. Si fueron modificados recientemente = sospechoso.

Método 2 - Verificación con PowerShell:

Get-FileHash C:\Windows\System32\utilman.exe
Get-FileHash C:\Windows\System32\cmd.exe

Si los hash son idénticos = utilman.exe ha sido reemplazado.

Preguntas: 23. ¿Qué verificación automatizada implementaría? 24. ¿Cómo detectar estas modificaciones en una empresa?

Parte 7: Ejercicios Prácticos​

Ejercicio 7.1: Escenario Helpdesk​

Situación: Un empleado ha olvidado su contraseña de Windows. Usted es el soporte IT.

Tarea:

  1. Documente el procedimiento completo de recuperación
  2. Incluya las precauciones de seguridad
  3. Indique el tiempo necesario
  4. Liste las verificaciones a realizar después

Entregable: Procedimiento escrito (1 página)

Ejercicio 7.2: Auditoría de Seguridad​

Tarea: Cree un script PowerShell que verifique:

  • Si utilman.exe ha sido modificado
  • Si sethc.exe ha sido modificado
  • Si BitLocker está activado
  • Si hay una contraseña BIOS configurada (detectable vía WMI)

Entregable: Script PowerShell funcional

Ejercicio 7.3: Comparación Temporal​

Experiencia:

  1. Mida el tiempo para eludir la contraseña (método 1)
  2. Active BitLocker (si Windows Pro)
  3. Intente el mismo método
  4. Documente la diferencia

Preguntas: 25. ¿BitLocker impide completamente el bypass? 26. ¿Cuál es la diferencia de tiempo?

Entregables​

A entregar:

  1. Documento de respuestas (Word/PDF) que contenga:

    • Respuestas a las 26 preguntas
    • Tiempo medido para cada método
    • Capturas de pantalla de los 3 métodos funcionales
    • Procedimiento helpdesk (Ejercicio 7.1)

  2. Capturas de pantalla (mínimo 5):

    • Símbolo del sistema vía Utilman (mostrando whoami)
    • Comando net user mostrando los usuarios
    • Cambio de contraseña exitoso
    • Inicio de sesión con nueva contraseña
    • Verificación de hash (utilman.exe modificado)

  3. Análisis de seguridad (1-2 páginas):

    • Impacto de estas vulnerabilidades en la empresa
    • Medidas de protección recomendadas
    • Comparación con/sin BitLocker

  4. Script PowerShell (Ejercicio 7.2)

Criterios de Evaluación​

CriterioPuntos
Dominio de los 3 métodos de bypass30%
Comprensión de las implicaciones de seguridad25%
Calidad del análisis y recomendaciones20%
Documentación y capturas de pantalla15%
Script de detección (Ejercicio 7.2)10%

Comandos de Referencia Rápida​

Modo de Recuperación​

Acceso modo recuperación:

shutdown /r /o /f /t 00

Identificar partición de Windows:

diskpart
list volume
exit

Métodos de Bypass​

Reemplazo de Utilman:

copy D:\Windows\System32\utilman.exe D:\Windows\System32\utilman.exe.bak
copy D:\Windows\System32\cmd.exe D:\Windows\System32\utilman.exe

Reemplazo de Sticky Keys:

copy D:\Windows\System32\sethc.exe D:\Windows\System32\sethc.exe.bak
copy D:\Windows\System32\cmd.exe D:\Windows\System32\sethc.exe

Cambio de contraseña:

net user <username> <nuevo_password>
net user <username> ""

Detección​

Verificación de hash:

Get-FileHash C:\Windows\System32\utilman.exe
Get-FileHash C:\Windows\System32\sethc.exe
Get-FileHash C:\Windows\System32\cmd.exe

Restauración:

copy C:\Windows\System32\utilman.exe.bak C:\Windows\System32\utilman.exe
copy C:\Windows\System32\sethc.exe.bak C:\Windows\System32\sethc.exe

Solución de Problemas​

Problema: "Acceso denegado" en modo recuperación​

Solución: Ya está en modo recuperación con privilegios, esto no debería ocurrir. Verifique que está usando el símbolo del sistema de recuperación, no el de Windows normal.

Problema: No se encuentra utilman.exe​

Solución: No está en la unidad correcta. La unidad de Windows en modo recuperación no siempre es C:. Pruebe D:, E:, etc.

Problema: La backdoor no funciona tras reiniciar​

Solución:

  • Verifique que copió en System32 (no SysWOW64)
  • Verifique que el archivo existe: dir C:\Windows\System32\utilman.exe

Problema: "Sticky Keys" sigue mostrando el diálogo original​

Solución: La copia no funcionó correctamente. Repita el proceso desde el modo recuperación.

Ir Más Allá (Opcional)​

Challenge 1: Método Alternativo - Kon-Boot​

Investigue Kon-Boot - una herramienta que elude el login de Windows temporalmente sin modificar archivos.

Preguntas:

  • ¿Cómo funciona?
  • ¿Es detectable?
  • ¿Ventajas frente a los métodos de este laboratorio?

Challenge 2: Detección Automatizada​

Cree un script que:

  • Se ejecute al inicio
  • Verifique la integridad de utilman.exe y sethc.exe
  • Alerta al admin si han sido modificados
  • Restaure automáticamente desde backups

Challenge 3: Ataque Evil Maid Completo​

Documente un escenario de ataque "Evil Maid" completo:

  1. Acceso físico (5 min)
  2. Instalación de backdoor
  3. Instalación de keylogger
  4. Configuración de persistencia
  5. Exfiltración de datos planificada

Luego liste todas las defensas posibles.

Recursos Adicionales​

Conclusión​

Este laboratorio le ha enseñado:

  • 3 métodos de bypass de contraseña de Windows
  • La importancia de la seguridad física
  • Por qué BitLocker es crucial
  • Cómo detectar y prevenir estos ataques

Lecciones clave:

  1. Acceso físico = Control total (sin cifrado)
  2. BitLocker es esencial en portátiles
  3. Bloqueo automático protege contra accesos oportunistas
  4. Estas técnicas son legítimas para recuperación autorizada
  5. La seguridad es multicapa (física + software)

Próximo paso: Lab 2.2 donde aprenderá a crear VMs desechables para probar modificaciones destructivas sin riesgo.

Nota Final: Responsabilidad Ética​

Ahora sabe cómo eludir la autenticación de Windows en pocos minutos.

Este conocimiento es una herramienta poderosa:

  • Úselo para el bien (recuperación legítima, pruebas autorizadas)
  • Nunca para dañar, robar o violar la privacidad
  • Siempre obtenga autorización escrita antes de cualquier prueba
  • Respete las leyes y la ética profesional

Recuerde: Un gran poder implica una gran responsabilidad.

Compromiso: "Entiendo las implicaciones de estas técnicas y me comprometo a usarlas únicamente en un marco legal y ético."

Su firma: ____________________

Laboratorio desarrollado en el marco del curso Sistemas Operativos - MÓDULO 2