El Control de cuentas de usuario (UAC) es una función de seguridad de Windows que ejecuta los programas como usuario estándar y pide confirmación o credenciales antes de acciones que requieren privilegios de administrador.
Cómo funciona UAC
UAC llegó con Windows Vista en 2007 para reducir el daño causado por usuarios que trabajaban siempre como administradores. Cuando inicia sesión un administrador, Windows crea dos tokens de acceso: uno filtrado de usuario estándar para los programas cotidianos y otro completo de administrador. Cuando un programa necesita derechos elevados (instalar software, cambiar la configuración del sistema), UAC muestra un aviso:
- una solicitud de consentimiento («Sí/No») para los miembros del grupo Administradores;
- una solicitud de credenciales para los usuarios estándar, que deben introducir una contraseña de administrador.
El aviso suele aparecer en el «escritorio seguro», con el que otros programas no pueden interactuar. UAC también usa niveles de integridad y la virtualización de archivos y registro para aplicaciones heredadas.
Por qué importa UAC
UAC apoya el principio de mínimo privilegio: el malware que lanza un usuario no obtiene automáticamente el control total del sistema. No obstante, Microsoft no considera UAC una frontera de seguridad, y la configuración predeterminada permite que algunos binarios de confianza de Windows se eleven en silencio. Los atacantes lo aprovechan con técnicas de bypass de UAC (MITRE ATT&CK T1548.002): por ejemplo, secuestrando claves del registro de Windows que leen programas con elevación automática como fodhelper.exe o eventvwr.exe, de modo que el comando del atacante se ejecuta con integridad alta sin ningún aviso. Estas técnicas son un paso habitual de la escalada de privilegios en el malware común y el ransomware.
Buenas prácticas
- Mantener UAC activado y configurarlo en «Notificarme siempre» en los sistemas sensibles.
- Dar a los usuarios cuentas estándar y usar cuentas de administrador separadas.
- Vigilar los cambios en claves de registro relacionadas con la elevación automática y los procesos hijo inusuales de los binarios que se elevan solos.
