[¿Qúé és~ úñ có~ñtró~ládó~r dé d~ómíñ~íó¿]

[Úñ cóñtróládór dé dómíñíó és úñ típó dé sérvídór dé cómpútádórá qúé réspóñdé á lás sólícítúdés dé áútéñtícácíóñ dé ségúrídád ý vérífícá á lós úsúáríós éñ él dómíñíó dé úñá réd íñfórmátícá. Él cóñtróládór és úñ gátékéépér párá pérmítír él áccésó dél hóst á lós récúrsós dél dómíñíó. Támbíéñ áplícá pólítícás dé ségúrídád, álmácéñá lá íñfórmácíóñ dé lá cúéñtá dé úñ úsúáríó ý áútéñtícá á lós úsúáríós párá úñ dómíñíó.]

[Ésté blóg áñálízá él éñfóqúé qúé útílízáñ lós átácáñtés, déspúés dé óbtéñér úñ púñtó dé ápóýó íñícíál éñ úñ cóñtróládór dé dómíñíó, párá déscúbrír ý cómpréñdér úñ éñtórñó áñtés dé móvérsé látérálméñté. Múchás dé lás técñícás “vívéñ dé lá tíérrá” dé úñ púñtó fíñál ó sérvídór párá évéñtúálméñté llégár á lós cóñtróládórés dé dómíñíó ý láñzár úñ átáqúé. Ñúéstrá próxímá públícácíóñ éxámíñárá álgúñás fórmás éñ qúé lós átácáñtés sé múévéñ látérálméñté ý, pór últímó, éxplórárémós lás mítígácíóñés párá prévéñír móvímíéñtó látérál.]

[Lós á~tácá~ñtés~ éñcú~éñtr~áñ úñ~á máñ~érá d~é llé~gár.]

[Úñá véz qúé éñtráñ, és cúéstíóñ dé móvérsé látérálméñté, á méñúdó párá llégár ál cóñtróládór dé dómíñíó cóñ él fíñ dé órqúéstár úñ átáqúé. Úñá véz qúé úñ átácáñté tíéñé áccésó á él, és éféctíváméñté úñ ádmíñístrádór dé TÍ, pór ló qúé “vívír dé lá tíérrá” ñó pódríá sér más fácíl. Éxámíñémós úñ átáqúé, súpóñíéñdó úñá bréchá, qúé úñ átácáñté évéñtúálméñté éñcóñtrárá úñá máñérá dé éñtrár.]

[Péró príméró, véámós lós cóñtróládórés dé dómíñíó. Próbábléméñté ýá ló sépá, péró úñ sérvídór dé Mícrósóft Dómáíñ Cóñtróllér, Áctívé Díréctórý, és réspóñsáblé dé áútéñtícár él áccésó (vérífícár él íñícíó dé sésíóñ dé lós úsúáríós) á úñ dómíñíó dé Wíñdóws ý á lós récúrsós dé réd ásócíádós. Póséé úñ díréctóríó dé úsúáríós, grúpós ý cómpútádórás ý és úñ répósítóríó dé sérvícíós dé réd cómó árchívós cómpártídós, récúrsós cómpártídós dé réd é ímprésórás. Úñ sérvídór ápróvísíóñádó cóñ lás fúñcíóñés dé Sérvícíós dé dómíñíó dé Áctívé Díréctórý sé cóñvíérté éñ úñ cóñtróládór dé dómíñíó. Támbíéñ sé íñstálá cóñ úñ sérvídór DÑS párá ádmíñístrár lá résólúcíóñ dé ñómbrés ý ótrós sérvícíós dé réd íñtérñá. Áúñqúé éstáñ múý ímpúlsádós pór GÚÍ, úñ cóñtróládór dé dómíñíó ý úñ sérvídór dé Áctívé Díréctórý sóñ múý cómpléjós, éspécíálméñté éñ úñá réd córpórátívá típícá dóñdé és próbáblé qúé háýá váríós párá réplícácíóñ ý tóléráñcíá á fállás.]

[Cómó résúltádó dé lós rólés fúértéméñté éñtrélázádós éñ úñ dómíñíó dé Wíñdóws, él cóñtróládór dé dómíñíó álójá múchós sérvícíós díféréñtés dépéñdíéñdó dé lá cáñtídád dé rólés qúé sé ápróvísíóñá párá réálízár. Rólés cómó DÑS párá résólúcíóñ íñtérñá dé ñómbrés, tíckétíñg Kérbérós párá áútéñtícácíóñ, blóqúé dé méñsájés dél sérvídór, sérvícíós dé cértífícádós ý múchó más. Éstó ámplíá él súpérfícíé dé átáqúé ý dé héchó háý múchós átáqúés cóñtrá cómpóñéñtés cómó:]

• [Úsó d~é cré~déñc~íálé~s dé í~ñící~ó dé s~ésíóñ~ úñícó~]
• [Tíck~étíñ~g Kér~béró~s,]
• [Ñómb~rés p~ríñc~ípál~és dé~ sérv~ícíó~ (SPÑ),]
• [Óbjé~tós d~é dír~éctí~vá dé~ grúp~ó (GPÓ~)]
• [Cóñf~íáñz~ás ý d~élég~ácíóñ~ dé Ác~tívé~ Díré~ctór~ý]
• [RPC ý~ PÝMÉ~S.]

[Lá má~ýóríá~ dé és~tós á~táqú~és sé~ véñ f~ácíl~ítád~ós éñ~ gráñ~ médí~dá pó~r él r~écór~rídó~ dé lá~ réd. T~ódós~ éstó~s sér~vící~ós ví~éñéñ~ cóñ p~úért~ós ý p~rótó~cóló~s ásó~cíád~ós.]

[Lá sígúíéñté táblá múéstrá lós púértós ý prótócólós qúé próbábléméñté útílízárá úñ cóñtróládór dé dómíñíó típícó qúé débé déjársé ábíértó. Éstó éqúíválé á úñá súpérfícíé dé átáqúé éxpáñsívá qúé lós málós áctórés púédéñ hácér úsó. Él rétó és qúé sí décídímós cérrár púértós, párá rédúcír lás súpérfícíés dé átáqúé, Áctívé Díréctórý déjá dé fúñcíóñár córréctáméñté.]

[Rútá~ dé ác~césó~ ál có~ñtró~ládó~r dé d~ómíñ~íó]

[Lá prémísá áqúí éstá álíñéádá cóñ lá fílósófíá dé ásúmír úñá bréchá qúé ímplícá qúé úñ áctór dé áméñázás ýá púédé téñér áccésó ñó áútórízádó á sús sístémás ó réd, áúñqúé pósíbléméñté cóñ prívílégíós dé méñór ñívél. Pór éjémpló, éstó pódríá sér él cómprómísó dé úñá cúéñtá dé úsúáríó á trávés dé súpláñtácíóñ dé ídéñtídád ésó, á sú véz, púédé cóñdúcír á úñ cómprómísó dé córréó éléctróñícó émprésáríál (BÉC). Éstó támbíéñ ímplícárá qúé és más qúé próbáblé qúé él áctór dé áméñázás ésté trátáñdó dé ábrírsé cámíñó hácíá úñá cúéñtá prívílégíádá más áltá ý póstéríórméñté córóñár sístémá jóýá cómó él cóñtróládór dé dómíñíó.]

[Véám~ós úñ~ flúj~ó dé á~táqú~é híp~ótétí~có sí~gúíé~ñdó é~sté p~átróñ~:]

[Él átáqúé íñícíál ímplícá úñ córréó éléctróñícó dé phíshíñg á úñ émpléádó. Ésté átáqúé dé phíshíñg cóñtíéñé úñ éñlácé á úñ íñícíó dé sésíóñ fálsó dé Óffícé 365 ÓñéDrívé dél qúé cáé él émpléádó. Júñtó cóñ lá éjécúcíóñ dé jáváscrípt ý, éñ álgúñós cásós, lá vúlñérábílídád, díchó éñlácé éjécútá áútómátícáméñté úñ málwáré dé sóló mémóríá qúé ápróvéchá Wíñdóws Pówérshéll. Éstó lúégó cóñdúcé á úñá púértá trásérá dé cómáñdó ý cóñtról (C&C) dé lá cómpútádórá pórtátíl Wíñdóws dél úsúáríó cómprómétídó dé régrésó ál átácáñté. Ésté és él púñtó dé pártídá párá ésté ártícúló 'ásúmír úñá víólácíóñ'prémísá.]

[Él átáqúé hástá éstá étápá sérá éñ sú máýóríá áútómátízádó, pór ló qúé és próbáblé qúé él átácáñté récíbá úñá ñótífícácíóñ dé C&C sóbré úñ ñúévó shéll ý, pór ló táñtó, úñá ñúévá máqúíñá cómprómétídá. Támbíéñ váñ á sér príñcípálméñté ájéñós á tódós lós détállés dél sístémá cómprómétídó, cómó cúéñtás dé úsúáríó, prívílégíós ý áccésó á récúrsós dé réd. Áqúí és dóñdé él ÁTT&CK Fásé dé déscúbrímíéñtó és ímpórtáñté párá úñ átácáñté.]

[ÁTT&C~K: Dés~cúbr~ímíé~ñtó]

[¿Qúé és~ ló pr~ímér~ó qúé~ débé~ hácé~r pár~á pás~ár dé~ úñ úñí~có sí~stém~á, ýá s~éá pú~ñtó f~íñál~ dé ém~pléá~dó ó c~árgá~ dé tr~ábáj~ó, á úñ~ cóñt~rólá~dór d~é dóm~íñíó~¿]

[Cómó~ díríá~ ÁTT&C~K éñ l~á fás~é Dís~cóvé~rý, “tr~áté d~é ávé~rígú~ár él~ éñtó~rñó”.]

[Lós á~dvér~sárí~ós có~míéñ~záñ p~ór éñ~téñd~ér qú~íéñ és~ él ús~úárí~ó dél~ síst~émá, l~ós pr~ócés~ós éñ~ éjéc~úcíóñ~, lá pé~rtéñ~éñcí~á á ár~chív~ó/dír~éctó~ríó/g~rúpó~ ý lá í~ñfór~mácí~óñ dé l~á sés~íóñ.]

[Hérrámíéñtás cómó ÑMÁP párá éscáñéó dé púértós sóñ úñá ópcíóñ párá óbtéñér úñá pístá dél térréñó párá vér qúé sérvícíós éstáñ éscúcháñdó éñ máqúíñás rémótás qúé púédéñ éxplótár. Ádémás, Blóódhóúñd sé púédé útílízár párá mápéár él éñtórñó dé Áctívé Díréctórý párá cómpréñdér lá máñérá más rápídá dé llégár ál cóñtróládór dé dómíñíó.]

[Éstás hérrámíéñtás sé háñ útílízádó éñ átáqúés, síñ émbárgó, tíéñéñ úñ désáfíó íñhéréñté. Llámáñ démásíádó lá átéñcíóñ sóbré sí mísmós cómó hérrámíéñtás dé tércérós qúé géñéráñ tráfícó. Sóñ cóñvérsádórés ý álgó ábíértós, ló qúé sígñífícá qúé pódríáñ sér détéctádós pór lós sístémás dé ségúrídád.]

[Lá méjór máñérá dé átéñdér á lós átácáñtés és símpléméñté “vívír fúérá dé lá tíérrá” cúáñdó tíéñéñ áccésó á úñ éñdpóíñt ó cárgá dé trábájó úñídó á úñ dómíñíó. Dé éstá máñérá útílízáñ hérrámíéñtás qúé sóñ ñátívás dél éñdpóíñt ý ñó géñéráñ ñíñgúñ rúídó éñ lá réd.]

[Lós á~tácá~ñtés~ púéd~éñ có~méñz~ár có~ñ cóm~áñdó~s CLÍ~ básíc~ós có~ñ lós~ qúé m~úchó~s dé ñ~ósót~rós é~stám~ós fá~mílí~áríz~ádós~ cómó~ úñá m~áñér~á fácí~l ý dí~scré~tá dé~ éñté~ñdér~ dóñdé~ éstáñ~ ý qúé p~úédé~ñ hác~ér á c~óñtí~ñúác~íóñ.]

[Éñ úñ~ éqúí~pó cl~íéñt~é úñí~dó á ú~ñ dóm~íñíó~, cómá~ñdós~ cómó~ whóá~mí pé~rmít~írá él~ désc~úbrí~míéñ~tó dé~l pró~píét~áríó~ ó úsú~áríó~ dél s~ísté~má, ý m~óstr~ár úñ~á sál~ídá s~ímíl~ár á l~á qúé~ sé mú~éstr~á á có~ñtíñ~úácí~óñ.]

[Éstó pérmíté qúé él átácáñté créé úñ pérfíl dé cúéñtá dél sístémá cómprómétídó párá vér á qúé tíéñé áccésó ésá cúéñtá. Úñ vístázó rápídó á lós grúpós dé Áctívé Díréctórý dé lós qúé fórmá párté lá máqúíñá pérmíté ál átácáñté díscérñír qúé él úsúáríó éstá, pór éjémpló, éñ él éqúípó dé Fíñáñzás. Sábéñ qúé próbábléméñté téñdráñ áccésó á récúrsós cómpártídós dé árchívós fíñáñcíérós párá éxplótár ó púédéñ óptár pór éxámíñár íñmédíátáméñté lós árchívós éñ lá máqúíñá sí lós dátós fíñáñcíérós sóñ ló qúé búscáñ.]

[Él áctór dé áméñázás támbíéñ púédé úsár úñ cómáñdó símplé péró éféctívó cómó úsúáríós dé réd ý swítchés ásócíádós párá déscúbrír él ñómbré dél cóñtróládór dé dómíñíó ál qúé éstá úñídá sú máqúíñá cómprómétídá ý lá lístá dé cúéñtás dé úsúáríó qúé éxístéñ éñ él cóñtróládór dé dómíñíó.]

[Á pár~tír d~é áqú~í, háý ú~ñ cóñ~júñt~ó clá~ró dé~ détá~llés~ ímpó~rtáñ~tés q~úé pú~édéñ~ áýúd~ár á s~ú rút~á ál c~óñtr~ólád~ór dé~ dómí~ñíó.]

[Ótrós cómáñdós símplés cóñ lós qúé múchós éstáñ fámílíárízádós sóñ ípcóñfíg /tódós ý ñétstát -rñ párá óríéñtár ál átácáñté hácíá él gátéwáý prédétérmíñádó ý lá íñfórmácíóñ dé réd, súbréd, DÑS ý DHCP. Támbíéñ púédéñ vér á qúé sé púédé áccédér dádá lá táblá dé éñrútámíéñtó. Éstó lé dá ál átácáñté súfícíéñté íñfórmácíóñ párá cóñstrúír úñ mápá básícó dé cóñéxíóñés á ñívél dé réd. Púédéñ déscífrár sí sú máqúíñá cómprómétídá éstá ó ñó éñ lá mísmá súbréd qúé él cóñtróládór dé dómíñíó ó él sérvídór DÑS. Pór éstá rázóñ, és ímpérátívó cóñtár cóñ úñ éñfóqúé dé mícróségméñtácíóñ párá ló cúál lá ségúrídád és dépéñdíéñté dé lá cárgá dé trábájó éñ lúgár dé dépéñdér dé lá réd, íñclúsó éñ úñá árqúítéctúrá dé réd pláñá. Ségúrídád qúé sígúé lá cárgá dé trábájó cómó úñ cóñtróládór dé dómíñíó, íñdépéñdíéñtéméñté dé lá súbréd ó lá úbícácíóñ.]

[Támb~íéñ pú~édéñ~ désc~ífrá~r súb~rédé~s ý rú~tás á~dící~óñál~és ý s~ús Gá~téwá~ýs có~rrés~póñd~íéñt~és ý c~órró~bórá~r ésá~ íñfó~rmác~íóñ dé~ éñrú~támí~éñtó~ cóñ d~étál~lés D~ÑS íñ~vérs~ós dé~, pór é~jémp~ló, ñó~mbré~s dé s~érví~dóré~s cóm~párt~ídós~ dé ré~d.]

[Lá máýóríá dé lás órgáñízácíóñés útílízáñ récúrsós cómpártídós dé réd párá qúé lós émpléádós déñtró dél mísmó éqúípó cómpártáñ ý, á vécés, árchívéñ íñfórmácíóñ. Lós áctórés dé áméñázás púédéñ ápróvéchár lós détállés dél úsó cómpártídó dé réd dé Wíñdóws dé útílídádés íñtégrádás cómó úsó ñétó párá lócálízár Fílé Sérvérs ó íñclúsó cóñtróládórés dé dómíñíó. Támbíéñ púédéñ úsár éstá íñfórmácíóñ cómbíñádá cóñ cúálqúíér cúéñtá cómprómétídá ó éscáládá párá áccédér á récúrsós cómpártídós ócúltós dé lá réd dé Wíñdóws, cómó ÁMDÍÑ$ ó C$. Éstós sé púédéñ útílízár párá fácílítár lá própágácíóñ dé málwáré á ótrás máqúíñás á trávés dé lá réd lócál SMB ó á trávés dé úñá cóñéxíóñ VPÑ dé áccésó rémótó válídá cóñéctádá á úñá réd SMB.]

[Cóñ éstá íñfórmácíóñ, áhórá pódémós vér á qúé récúrsós cómpártídós ý sérvídórés téñémós áccésó éñ Wíñdóws, á cóñtíñúácíóñ. Úñá véz qúé él átácáñté tíéñé úñ pócó más dé íñfórmácíóñ sóbré él sístémá cómprómétídó bájó sú cóñtról, púédé fórmúlár él sígúíéñté pláñ dé áccíóñ.]

[Éñ ésté éjémpló, él úsúáríó és úñ ádmíñístrádór lócál párá sú cómpútádórá pórtátíl, tíéñé úñ ádáptádór VPÑ éñ sú lístá dé ÑÍCs ý úñá áplícácíóñ VPÑ córréspóñdíéñté péró ñó tíéñé ñíñgúñ áccésó dé ádmíñístrádór dé dómíñíó. Dádó qúé úñ óbjétívó céñtrál és óbtéñér áccésó ál cóñtróládór dé dómíñíó, él átácáñté tíéñé álgúñás ópcíóñés, cómó íñtéñtár éscálár prívílégíós qúé sé púédéñ úsár párá él móvímíéñtó látérál. Sí ñó háý ótrás cúéñtás préséñtés éñ él sístémá párá lás cúálés sé púédáñ éscálár lós prívílégíós, éñtóñcés ló más próbáblé és qúé téñgáñ qúé íñtéñtár óbtéñér díchá cúéñtá. Pódríáñ ápróvéchár lá áútéñtícídád dé lá cúéñtá ý lá máqúíñá cómprómétídás párá éñvíár átáqúés dé phíshíñg áúñ más éspécífícós déñtró dél dómíñíó dé córréó éléctróñícó dé lá órgáñízácíóñ. Támbíéñ pódríáñ cáúsár úñá fállá ártífícíál éñ sú sístémá óbjétívó párá fórzár úñ cásó dé sópórté dé TÍ, ló qúé próbábléméñté sígñífícárá úñá sésíóñ dé áýúdá rémótá cóñ úñ ádmíñístrádór dé TÍ qúé próbábléméñté sé “éjécútárá cómó ádmíñístrádór” éñ lá máqúíñá íñféctádá. Lós áctórés dé áméñázás tíéñdéñ á sér détérmíñádós ý sóñ pácíéñtés ý, pór ló géñérál, háráñ ló qúé séá ñécésáríó párá óbtéñér ló qúé éstáñ búscáñdó.]

[És ímpórtáñté séñálár qúé hástá ésté móméñtó, ñí síqúíérá hémós útílízádó cápácídádés ñátívás más pótéñtés cómó PówérShéll ó WMÍ. Éstó és párá séñálár délíbérádáméñté lá cáñtídád dé íñfórmácíóñ qúé áúñ sé púédé óbtéñér éñ lós sístémás ópérátívós hérédádós cómó éñ lós módérñós. Pór éjémpló, él átácáñté áúñ púédé próbár lá pósíbílídád dé áccésó rémótó ñátívó útílízáñdó úñá hérrámíéñtá dél sístémá cómó PówérShéll párá vér á qúé máqúíñás áccédéñ dé fórmá rémótá párá áýúdár ál móvímíéñtó látérál ý ál pívóté.]

[Lás cápácídádés dé Pówérshéll Rémótíñg ófrécéñ ótrá víá dé déscúbrímíéñtó ý cápácídádés dé móvímíéñtó látérál cóñ cómáñdós cómó Éñtrár á lá sésíóñ ý ótrós cmdléts qúé púédéñ éjécútár Ñómbré dél éqúípó párámétró. Él príméró útílízá WíñRM (HTTP 5985 ý HTTPS 5986) ý él póstéríór él RPC más úbícúó.]

[Éñtéñdémós lá ímpórtáñcíá dé lós cóñtróládórés dé dómíñíó, sábémós qúé sé há pródúcídó úñá íñtrúsíóñ ý áhórá téñémós úñá méjór cómpréñsíóñ dé cómó lós átácáñtés púédéñ úsár cómáñdós CLÍ símplés ý lás técñícás más ímpórtáñtés párá vívír dé lá tíérrá (qúé ñó géñéráráñ rúídó éñ sú púñtó fíñál ó hérrámíéñtás dé ségúrídád dé réd véráñ) párá cóñócér lá tíérrá ý déscúbrír dóñdé sé éñcúéñtráñ éñ úñ éñtórñó.]

[Ñúés~tró p~róxím~ó pós~t éxá~míñá~rá él m~óvím~íéñt~ó lát~érál~ qúé l~ós át~ácáñ~tés é~xhíb~éñ dé~spúés~ dél d~éscú~brím~íéñt~ó, pár~á llé~gár á~l cóñ~tról~ádór~ dé dó~míñí~ó.]