🧭 Find-WSUS

Descubra configuraciones de servidores WSUS en todos los Objetos de directiva de grupo (GPO) — incluidas las Preferencias de directiva de grupo (GPP) ocultas.

Find-WSUS es un script de PowerShell diseñado para profesionales de la seguridad y administradores de sistemas con el fin de identificar todas las URLs de servidores WSUS (Windows Server Update Services) configuradas mediante GPO. Detecta configuraciones de ambos tipos:

• Directivas de plantillas administrativas (HKLM\Software\Policies)
• Ajustes de registro de Preferencias de directiva de grupo (GPP) ocultos en informes XML

⚠️ Por qué es importante

Los servidores WSUS son activos de infraestructura de alto valor. Si se ven comprometidos, un atacante puede implementar «actualizaciones» maliciosas en todos los sistemas unidos al dominio, lo que conduce a un compromiso total del dominio.

🧨 Vulnerabilidades como CVE-2025-59287 demuestran que una sola explotación de WSUS puede otorgar a los atacantes control total sobre el dominio.

Find-WSUS ayuda a las organizaciones a localizar cada fuente de configuración de WSUS antes de que lo hagan los atacantes.

🔍 El problema del «WSUS oculto»

La mayoría de los escaneos solo comprueban:

HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate

Sin embargo, muchas organizaciones implementan la configuración de WSUS mediante Preferencias de directiva de grupo (GPP), que modifican directamente las claves del registro. Estos ajustes no aparecen en los informes estándar de GPMC.

✅ Find-WSUS detecta tanto las configuraciones estándar como las basadas en GPP, lo que le ofrece visibilidad completa de su entorno.

🧩 Requisitos previos

⚙️ Uso

1. Importar el script

Cargue el script en su sesión de PowerShell:

. .\Find-WSUS.ps1

2. Ejecutar el escaneo

Después de importarlo, la función Find-WSUS queda disponible.

Ejemplo 1: Escanear el dominio actual

Find-WSUS | Format-Table -AutoSize

Ejemplo 2: Salida detallada

Vea mensajes de progreso detallados durante el escaneo:

Find-WSUS -Verbose

Ejemplo 3: Escanear un dominio diferente

Find-WSUS -Domain "child.mydomain.com" | Format-Table -AutoSize

Ejemplo 4: Filtrar GPO por nombre

Find-WSUS -Name "*Server*" -Verbose

Ejemplo 5: Obtener una lista única de hosts WSUS

$results = Find-WSUS -Domain "mydomain.com"
$results.Hostname | Where-Object { $_ } | Sort-Object -Unique

📦 Parámetros

🧠 Cómo funciona

1. Validación del entorno

• Garantiza que PowerShell sea de 64 bits.
• Verifica que el módulo GroupPolicy esté instalado.
• Confirma que los GPO sean accesibles en el dominio especificado.

2. Escaneo de directivas (runspace STA)

• Usa Get-GPRegistryValue en un runspace STA para evitar errores de subprocesamiento COM.

• Busca los valores WUServer y WUStatusServer en:

  root@kitploit:~

  HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate
  

3. Escaneo de preferencias (XML de GPP)

• Analiza la salida XML de Get-GPOReport -ReportType Xml.
• Encuentra URLs de WSUS ocultas en nodos con espacio de nombres (q2:Registry) y de respaldo (*[local-name()='Registry']).
• Captura los valores escritos en HKLM, incluidas las claves ...\Windows\WindowsUpdate.

4. Agregación de resultados

• Combina todos los hallazgos en un único conjunto de datos.
• Extrae los nombres de host de las URLs para facilitar la deduplicación.
• Devuelve objetos limpios y ordenados.

🧾 Ejemplo de salida (formato real)

Esto refleja el diseño y los encabezados reales de Format-Table -AutoSize de Find-WSUS, pero con hosts/URLs y nombres/GUID de GPO de ejemplo realistas.

PS C:\Users\Administrator\Documents> Find-WSUS | Format-Table -AutoSize
[OK] Environment check passed: 64-bit PowerShell, GroupPolicy module loaded, GPOs accessible.


GPOName               Scope                 Key                                                    ValueName      Value                                    Hostname              GPOGuid                              
-------               -----                 ---                                                    ---------      -----                                    --------              -------                              
Default Domain Policy Policy (Computer)     HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate WUServer       https://wsus.corp.contoso.com:8531       wsus.corp.contoso.com 31b2f340-016d-11d2-945f-00c04fb984f9
Default Domain Policy Policy (Computer)     HKLM\Software\Policies\Microsoft\Windows\Windows\Update WUStatusServer https://wsus.corp.contoso.com:8531       wsus.corp.contoso.com 31b2f340-016d-11d2-945f-00c04fb984f9
Corporate WSUS Baseline Policy (Computer)   HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate WUServer       http://wsus01.contoso.com:8530           wsus01.contoso.com    57f2e3da-33c5-4a35-abce-c12a0b7f9823
Corporate WSUS Baseline Policy (Computer)   HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate WUStatusServer https://wsus01.contoso.com:8531          wsus01.contoso.com    57f2e3da-33c5-4a35-abce-c12a0b7f9823
Workstations - Windows Update (GPP) Preference (Registry) HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate WUStatusServer https://wsus-west.contoso.com:8531   wsus-west.contoso.com a1cde8b2-7f45-43f2-9db4-9c1e93a0e5c1

Nota: En entornos reales, a menudo verá SSL en :8531 y HTTP heredado en :8530. Los nombres de host anteriores son ejemplos; reemplácelos con su inventario real.

🚫 Limitaciones

[!WARNING] Este script es una herramienta de descubrimiento, no un sistema de inventario completo.

Solo encuentra servidores WSUS definidos mediante directiva de grupo. No detecta:

• Clientes fuera del dominio o registros configurados manualmente
• Servidores WSUS no autorizados sin vínculo a un GPO
• Sistemas administrados por directivas de Intune o SCCM

✅ Próximos pasos recomendados

1. Ejecute Find-WSUS en todos los dominios de su bosque.
2. Combine la salida en un inventario central.
3. Compare con un EDR o escáner de activos las máquinas que ejecutan WSUSService.
4. Investigue cualquier host de WSUS no coincidente o inesperado.

🧑‍💻 Autor y créditos

Desarrollado por ingenieros de seguridad para exponer configuraciones ocultas de WSUS y mejorar la visibilidad de la infraestructura de parches.

📘 ¡Las contribuciones son bienvenidas! Envíe pull requests o issues para mejorar la compatibilidad o agregar nuevos métodos de descubrimiento.