AutoLogon credentials

El inicio de sesión automático de Windows permite que el equipo arranque directamente en una sesión sin pedir contraseña. Para lograrlo, el sistema necesita guardar las credenciales en algún sitio, y lo hace en el registro, bajo la clave de Winlogon. Esas credenciales suelen estar en texto plano, lo que las convierte en un botín directo durante la post-explotación.

Dónde viven. En HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:

• AutoAdminLogon (1 si el autologon está activo),
• DefaultUserName (el usuario),
• DefaultPassword (la contraseña, en claro),
• a veces DefaultDomainName.

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" | findstr /i "DefaultUserName DefaultPassword DefaultDomainName AutoAdminLogon"
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultPassword

# por red y validando la credencial hallada
netexec smb <ip> --local-auth -u <user> -p '<pass>'
netexec smb <ip> -u <user> -p '<pass>'

Por qué importan más allá de su propio usuario. El valor real no es solo entrar como ese usuario, sino que esa contraseña sea reutilizada por otra cuenta más privilegiada. Es muy habitual que la contraseña de autologon coincida con la del Administrador local: por eso, tras leerla, el paso siguiente es probarla en otras cuentas y servicios (reutilización de credenciales), no quedarse en la sesión actual.

Cómo se encuentran. Herramientas como winPEAS las extraen automáticamente y las resaltan en su sección de credenciales; también reg query directo o lazagne. En máquinas de 32 bits hay que usar la variante x86 de la herramienta para que lea el registro correcto.

Indicio frente a prueba. Leer una DefaultPassword confirma una credencial válida para ese usuario, pero que sirva para el Administrador es una hipótesis hasta validarla: conviene comprobarla (por ejemplo con netexec smb) antes de dar por hecha la escalada.

Cómo detectarlo. La lectura del registro apenas deja rastro por sí sola, así que la detección está en el proceso que la hace: un reg query ...\Winlogon, winPEAS o lazagne aparecen como Event ID 4688 (creación de proceso, con auditoría de línea de comando) accediendo a la clave Winlogon. Con auditoría de acceso al registro (SACL sobre HKLM\...\Winlogon), leer DefaultPassword genera además un 4657 (se modificó/consultó un valor del registro). La señal más útil no es la lectura sino lo que viene después: la reutilización de esa contraseña, un 4624/4625 de la cuenta Administrador desde un host o a una hora inusual justo tras el acceso a la clave. Los binarios de enumeración (winPEAS) los marca el EDR/AV.

Defensa. Evitar el autologon en equipos sensibles; si es imprescindible, usar Autologon de Sysinternals, que cifra la contraseña con LSA secrets en lugar de dejarla en claro; no reutilizar la contraseña de autologon en cuentas administrativas. Relacionado con historial de PowerShell y volcado de LSASS.