Ataques Potato

Contas de serviço como as do IIS e do SQL Server rodam com o privilégio de assumir tokens de outros usuários, porque precisam agir em nome dos clientes que atendem. Esse privilégio é, na prática, equivalente a SYSTEM assim que você consegue enganar um processo SYSTEM para que ele se autentique em um endpoint local sob seu controle. As variantes diferem na forma de armar o truque — as primeiras abusavam de reflexão NTLM via ativação COM local, o PrintSpoofer usa o named pipe do spooler de impressão, variantes posteriores passam por chamadas DCOM a outros serviços. A Microsoft considera tudo isso comportamento previsto, e não vulnerabilidade, o que explica por que novas variantes surgem a intervalos regulares.