Glosario
WDigest
Paquete de autenticación heredado de Windows que, si está habilitado, deja contraseñas sin cifrar en la memoria de LSASS, al alcance de las herramientas de volcado.
WDigest es la implementación de Windows de la autenticación HTTP Digest y SASL, introducida en Windows XP. Como el protocolo Digest necesita la contraseña del usuario para calcular las respuestas, el paquete de seguridad WDigest almacenaba históricamente en la memoria de LSASS una copia reversible de la contraseña en cada inicio de sesión interactivo. Desde la actualización KB2871997 de 2014 y en todas las versiones a partir de Windows 8.1 y Windows Server 2012 R2, este almacenamiento en caché está desactivado de forma predeterminada y se controla con el valor UseLogonCredential en HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest: 0 o ausente significa que no hay texto sin cifrar, y 1 lo vuelve a activar.
Los atacantes que obtienen derechos de administrador local suelen establecer UseLogonCredential en 1 y esperar al siguiente inicio de sesión, por lo que el valor es a la vez una opción de protección y una señal de detección. Establézcalo explícitamente en 0 mediante directiva de grupo (las líneas base de seguridad de Microsoft anteriores incluían la opción "WDigest Authentication"; se eliminó de la línea base de Windows 11 24H2 por estar en desuso, así que una preferencia de Registro también sirve), supervise los cambios en la clave del Registro con Sysmon o un EDR, y añada las cuentas privilegiadas a Protected Users, lo que también impide que WDigest almacene credenciales en caché.
Consulte Inicios de sesión en caché, WDigest y opciones de exposición de credenciales y Credential Guard y protección LSA.