Microsoft retira la confianza en los controladores de kernel con firma cruzada

Microsoft está cerrando una brecha de seguridad de larga duración en Windows. Según el artículo original, a partir de la actualización de Windows de abril de 2026, Windows dejaría de confiar en controladores de kernel firmados mediante el antiguo Cross-Signed Driver Program. Durante años, atacantes han abusado de estos controladores para cargar componentes maliciosos o vulnerables directamente en el kernel.

El artículo señala que el cambio afecta a Windows 11, Windows Server 2025 y versiones futuras. Esta es la cronología indicada por la publicación original y no una confirmación independiente del estado actual del despliegue.

Por qué Microsoft aplica este cambio

La firma cruzada se ofrecía originalmente como una alternativa para los proveedores que no querían pasar por WHCP (Windows Hardware Compatibility Program). Con el tiempo, se convirtió en una superficie de ataque utilizada para:

• Escalada de privilegios.
• Elusión de EDR.
• Persistencia a nivel de kernel.
• Desactivación de herramientas de seguridad durante ataques de ransomware.

Aunque los certificados de este programa expiraron hace años, Windows seguía confiando en estos controladores. El artículo describe la retirada de esa confianza.

Observaciones de los comentarios de la comunidad

El debate en TechCommunity destacó varios aspectos:

• Muchas organizaciones todavía dependen de hardware industrial, médico e integrado antiguo que solo dispone de controladores con firma cruzada.
• Algunos proveedores nunca migraron a WHCP, en particular fabricantes especializados o de bajo volumen.
• Los registros del modo de evaluación serán importantes, ya que la aplicación de la política puede interrumpir controladores sin avisar claramente.
• Las herramientas de virtualización, la redirección USB y las aplicaciones empresariales antiguas pueden ocultar controladores con firma cruzada que los equipos pasan por alto.

Esto refleja una deuda técnica que puede aflorar cuando se aplica una nueva política de confianza.

Cómo comprobar si su entorno está afectado

A continuación se describen cinco métodos de validación.

1. Comprobar firmas de controladores con PowerShell

Enumere los controladores en modo kernel:

Get-WindowsDriver -Online | Select-Object Driver, ClassName, ProviderName, Date, Version

Compruebe los detalles de la firma:

Get-AuthenticodeSignature "C:\Windows\System32\drivers\*.sys"

Marque los controladores que presenten:

• Un certificado que no sea WHCP.
• Estado `NotSigned` o `UnknownError`.
• Un emisor de certificado heredado utilizado para firma cruzada.

2. Usar SigCheck de Sysinternals

Analice los controladores:

sigcheck -q -m -i c:\windows\system32\drivers

Busque resultados como “Cross-signed”, “Unsigned” o “No WHQL”.

3. Comprobar los registros de eventos para detectar alertas del modo de evaluación

El artículo indica que, tras instalar la actualización de abril de 2026, Windows registraría advertencias antes de aplicar la política.

Vaya a: Event Viewer → Applications and Services Logs → Microsoft → Windows → CodeIntegrity → Operational.

Busque:

• Event ID 3089: el controlador se permitió, pero se bloqueará en el futuro.
• Event ID 3091: el controlador tiene firma cruzada.

Estos registros pueden servir como alerta temprana, según el artículo.

4. Inspeccionar las firmas de controladores en Device Manager

Para cada dispositivo:

1. Abra Device Manager.
2. Haga clic con el botón derecho en el dispositivo y seleccione Properties.
3. Abra la pestaña Driver.
4. Seleccione Driver Details.
5. Compruebe el campo Digital Signer.

Si no indica Microsoft Windows Hardware Compatibility Publisher, el controlador no está firmado por WHCP.

5. Inventariar los controladores de toda la flota con Intune o SCCM

Para validaciones a escala empresarial:

• Intune: Device Diagnostics y scripts personalizados.
• SCCM: consulta de `Win32_SystemDriver`.
• Defender for Endpoint: Advanced Hunting.

Ejemplo de consulta MDE:

DeviceFileEvents | where FolderPath endswith "drivers" | where FileName endswith ".sys"

Qué hacer si encuentra controladores con firma cruzada

• Contacte con el proveedor y solicite sustitutos firmados por WHCP.
• Planifique la renovación del hardware si el proveedor ya no opera.
• Aísle los sistemas heredados si no existe sustitución.
• Supervise semanalmente los registros Code Integrity hasta que comience la aplicación de la política.