El método de Utilman aprovecha que Windows permite abrir herramientas de accesibilidad antes de iniciar sesión. Si alguien puede cambiar sus archivos desde fuera del sistema, puede intentar que ese botón abra una consola con permisos elevados. En este tutorial veremos cómo plantear la prueba en una máquina virtual de Windows 11 y cómo deshacerla al terminar.
Alcance de la práctica: utiliza una máquina virtual propia, una cuenta local de prueba y una instantánea previa. Este borrador explica el procedimiento; no documenta una ejecución realizada en Windows. Las imágenes son esquemas propios, no capturas del sistema.
1. Qué es Utilman y dónde está el fallo
utilman.exe está relacionado con las herramientas de accesibilidad. El método clásico consiste en sustituirlo temporalmente por cmd.exe desde un entorno de arranque externo. Si la sustitución llega a ejecutarse, el botón de accesibilidad abre una consola antes del inicio de sesión. Es un abuso conocido de estas funciones, recogido por MITRE ATT&CK.
No es una forma de recuperar la contraseña antigua ni un fallo que funcione igual en todos los Windows 11. Requiere acceso al disco y puede quedar bloqueado por las protecciones del equipo. No cambia la contraseña de una cuenta Microsoft en Internet.
2. Preparar la máquina virtual
- Crea una instantánea de la máquina virtual antes de tocar archivos.
- Utiliza una cuenta local sin datos importantes. Un restablecimiento forzado puede afectar al acceso a archivos cifrados y credenciales guardadas.
- Ten una ISO de instalación de Windows 11 para arrancar la máquina desde ella.
- Comprueba si el disco está protegido con BitLocker. Si está bloqueado, necesitarás la clave de recuperación del propietario. Esta práctica no explica cómo eludir ese cifrado.
3. Encontrar la unidad de Windows
Arranca la máquina virtual desde la ISO. En la pantalla inicial del instalador, abre la consola con Mayús + F10. En este entorno las letras de las unidades pueden cambiar: no des por hecho que Windows está en C:.
dir C:\Windows\System32\utilman.exe
dir D:\Windows\System32\utilman.exeLocaliza la instalación de la máquina de prueba. Los comandos siguientes utilizan D: como ejemplo: sustitúyela por la letra que hayas comprobado. Si no puedes leer el disco o está cifrado y bloqueado, detén la prueba.
4. Guardar el original y hacer la sustitución
Primero guarda una copia del archivo original. Si ya existe utilman.wf-backup.exe, no lo sobrescribas: revisa si quedó de una prueba anterior y vuelve a una instantánea limpia.
copy D:\Windows\System32\utilman.exe D:\Windows\System32\utilman.wf-backup.exe
copy /y D:\Windows\System32\cmd.exe D:\Windows\System32\utilman.exeEl primer comando conserva el original; el segundo coloca una copia de la consola en su lugar. Comprueba que ambas copias terminaron correctamente. Reinicia desde el disco de Windows, quitando la ISO del arranque.
5. Probar el botón y cambiar la contraseña local
En la pantalla de inicio de sesión, pulsa el botón de accesibilidad. Si se abre la consola, comprueba con qué identidad se ejecuta:
whoami
net userLa identidad esperada en una demostración que funcione es nt authority\system. Si aparece otra cosa, no des el resultado por válido. net user muestra las cuentas locales. Para cambiar la contraseña de la cuenta de laboratorio, usa su nombre exacto:
net user "UsuarioDePrueba" *El asterisco hace que la contraseña se solicite sin escribirla dentro del comando. Introdúcela dos veces, comprueba el mensaje de resultado y cierra la consola. Después intenta acceder con la nueva contraseña, eligiendo contraseña en las opciones de inicio de sesión si normalmente utilizas un PIN. Microsoft documenta las opciones de net user.
6. Restaurar el archivo de accesibilidad
No termines dejando la consola en el botón de accesibilidad. Arranca otra vez desde la ISO, abre la consola y comprueba de nuevo la letra de la unidad. Restaura la copia original:
copy /y D:\Windows\System32\utilman.wf-backup.exe D:\Windows\System32\utilman.exe
fc /b D:\Windows\System32\utilman.wf-backup.exe D:\Windows\System32\utilman.exeLa comparación debe indicar que los archivos son iguales. Reinicia Windows y comprueba que accesibilidad vuelve a abrir sus herramientas y ya no una consola. Si algo ha fallado, recupera la instantánea inicial de la máquina virtual.
7. Si no funciona y qué se aprende
Si Windows bloquea la sustitución, restaura el archivo o el botón no abre la consola, anota la versión y el resultado real. No desactives las protecciones para presentar la prueba como superada. Este método clásico no garantiza el mismo comportamiento en todas las instalaciones actuales.
La práctica muestra por qué una contraseña de inicio de sesión no sustituye al cifrado del disco. BitLocker ayuda a proteger los datos frente a modificaciones sin conexión. Para cerrar la prueba, guarda las evidencias del cambio y de la restauración, sin mostrar la contraseña elegida.
Fuentes y notas del borrador
- MITRE: abuso de funciones de accesibilidad.
- Microsoft: comando net user.
- Microsoft: BitLocker y protección frente a ataques sin conexión.
- Referencia propuesta: artículo de 4sysops. No se pudo leer su contenido por el bloqueo de acceso; este texto es una explicación propia, no una traducción ni una reproducción de sus imágenes.
Comentario de prueba