[Llévá~mé á t~ú cóñ~tról~ádór~ dé dó~míñí~ó: cómó~ lós á~tácá~ñtés~ sé mú~évéñ~ láté~rálm~éñté~ á trá~vés dé~ tú éñ~tórñ~ó]

[Dáñ G~óúld~ támb~íéñ có~ñtrí~búýó á~ éstá~ públ~ícác~íóñ.]

[Éñ lá prímérá párté dé éstá séríé dé blógs, vímós díféréñtés fórmás éñ qúé úñ áctór dé áméñázás púédé llévár á cábó lá fásé Díscóvérý dél márcó ÁTT&CK párá óbtéñér úñ térréñó déspúés dé úñá íñféccíóñ íñícíál. Éstó lés própórcíóñá íñfórmácíóñ ímpórtáñté sóbré lá réd ý él dómíñíó, íñclúsó cóñ prívílégíós dé dómíñíó éstáñdár. Támbíéñ óbsérvámós álgúñós dé lós cómpóñéñtés útílízádós pór úñ cóñtróládór dé dómíñíó qúé púédéñ sér átácádós díréctáméñté ó ápróvéchádós cómó párté dé úñ átáqúé.]

[Áqúí, v~ámós~ á pró~fúñd~ízár~ sóbr~é ést~ó pár~á mós~trár~ éjém~plós~ dé át~áqúé~s ý hé~rrám~íéñt~ás qú~é sé p~úédé~ñ úsá~r cóñ~trá é~stós~ cómp~óñéñ~tés p~árá é~jécú~tár l~á síg~úíéñ~té fá~sé dé~ úñ át~áqúé~: móví~míéñ~tó lá~térá~l.]

[Ármádó cóñ éstá íñfórmácíóñ útíl, cómó lás móstrádás éñ él póst áñtéríór éñ lá fásé dé déscúbrímíéñtó, él áctór dé áméñázás áhórá púédé íñtéñtár cóñ cóñfíáñzá él móvímíéñtó látérál éñ lá rútá ál cóñtróládór dé dómíñíó. Ñó óbstáñté, ñécésítáráñ lás crédéñcíálés ñécésáríás, sístémás dé déstíñó íñtérmédíós é íñfórmácíóñ dé cómpóñéñtés, cómbíñádá cóñ lás hérrámíéñtás dé átáqúé córréspóñdíéñtés, párá álcáñzár sú óbjétívó fíñál.]

[ÁTT&C~K: Móv~ímíé~ñtó L~átér~ál]

[Él móvímíéñtó látérál, éspécíálméñté éñ úñ dómíñíó Wíñdóws, púédé ócúrrír éñ dós ñívélés. Príméró él ñívél dé áplícácíóñ, dóñdé él átácáñté púédé úsár técñícás básádás éñ crédéñcíálés cómó páss-thé-hásh ó páss-thé-tíckét, qúé á sú véz ápróvéchá él ñívél dé réd dóñdé réálméñté sé múévé dé úñá máqúíñá á ótrá éñ él cámíñó hácíá él déstíñó fíñál, qúé éñ ésté cásó és él cóñtróládór dé dómíñíó.]

[Éstó~ ñós l~lévá~ á lás~ técñí~cás b~ásád~ás éñ~ créd~éñcí~álés~.]

[Técñí~cás b~ásád~ás éñ~ créd~éñcí~álés~ párá~ él mó~vímí~éñtó~ láté~rál]

[Síñ d~údá, ú~ñá vé~z dés~cúbí~értá~s lás~ créd~éñcí~álés~ dé ád~míñí~strá~dór d~él dó~míñí~ó, él c~óñtr~ólád~ór dé~ dómí~ñíó s~úélé~ éstá~r á úñ~á líñé~á dé c~ómáñ~dós d~é dís~táñc~íá.]

[Lós átácáñtés búscáñ vólcár lás crédéñcíálés álmácéñádás éñ cáché éñ úbícácíóñés cómúñés, cómó él Sérvícíó dé Súbsístémá dé lá Áútórídád dé Ségúrídád Lócál (LSÁSS), qúé sé útílízáñ párá áútéñtícár úsúáríós, íñícíós dé sésíóñ ý pérmísós éñ Wíñdóws. ¿Pór qúé sé gúárdáñ éñ lá mémóríá lás crédéñcíálés (cóñtráséñás/tíckéts cóñ hásh)¿ Párá él íñícíó dé sésíóñ úñícó, és párá qúé lós úsúáríós ñó téñgáñ qúé vólvér á áútéñtícársé tódó él tíémpó.]

[Sí lós átácáñtés éstáñ dé súérté, cómprómétéñ úñ sístémá qúé tíéñé íñícíós dé sésíóñ dé ádmíñístrádór áñtéríórés qúé pérmáñécéñ éñ lá mémóríá. Ésás crédéñcíálés dé íñícíó dé sésíóñ sé púédéñ óbtéñér cóñ Mímíkátz ó hérrámíéñtás símílárés dé sóñdéó dé mémóríá LSÁSS. Cómó ýá sábé, Mímíkátz ý hérrámíéñtás símílárés pérmítéñ á lós áctórés dé áméñázás éñcóñtrár ý éxtráér crédéñcíálés dé áútéñtícácíóñ cómó háshés ÑTLM é íñfórmácíóñ dé tíckéts Kérbérós dé lá mémóríá dél kérñél dé úñá cómpútádórá éñ éjécúcíóñ útílízádá pór LSÁSS.]

[Él sí~gúíé~ñté é~jémp~ló mú~éstr~á él d~úmpí~ñg dé~ créd~éñcí~álés~ úsáñ~dó Mí~míká~tz.]

[Éñ lá máýóríá dé lós cásós, lá cúéñtá íñícíálméñté cómprómétídá sóló ñécésítá sér úñá cúéñtá dé ádmíñístrádór lócál éñ lá máqúíñá Wíñdóws párá pódér éjécútár cóñ éxító hérrámíéñtás cómó Mímíkátz. Éstó sígñífícá qúé téñdrá lós prívílégíós ñécésáríós, cómó él prívílégíó dé dépúrácíóñ dé Wíñdóws, párá léér kérñél ó mémóríá prívílégíádá párá cíértós prócésós crúcíálés dé Wíñdóws cómó LSÁSS. Cómó sé méñcíóñó áñtéríórméñté, lós dómíñíós dé Wíñdóws dépéñdéñ éñ gráñ médídá dé lá cápácídád dé íñícíó dé sésíóñ úñícó párá ófrécér úñá éxpéríéñcíá cásí pérféctá párá lós úsúáríós ý lás máqúíñás qúé sólícítáñ récúrsós éñ tódó él dómíñíó. Párá fácílítár éstó fácílméñté, Wíñdóws há éstádó úsáñdó lá cápácídád dé álmácéñár crédéñcíálés hásh éñ lá mémóríá ý párá lás vérsíóñés áñtéríórés, cóñtráséñás dé téxtó pláñó éñ lá mémóríá. Éstá és úñá dé lás príñcípálés fórmás éñ qúé hérrámíéñtás cómó Mímíkátz sóñ cápácés dé récúpérár háshés ÑTLM ý, éñ álgúñós cásós, cóñtráséñás dé téxtó pláñó párá técñícás cómó átáqúés páss-thé-hásh ý páss-thé-tíckét.]

[Ásí és~ cómó~ sé vé~ él vé~rtíd~ó dé b~ólét~ós Ké~rbér~ós dé~ lá mé~mórí~á:]

[Ótrá hérrámíéñtá qúé sé púédé útílízár párá átáqúés rélácíóñádós cóñ tíckéts Kérbérós és Rúbéús. Tíéñé cápácídádés cómó sólícítúdés dé tíckéts Kérbérós, qúé récúpéráñ úñ Tíckét-Gráñtíñg-Tíckét (TGT) básádó éñ lá cóñtráséñá/hásh dé úñ úsúáríó éñ úñá íñstáñcíá ó éñ fúñcíóñ dél álmácéñ dé cértífícádós dé úñ úsúáríó. Rúbéús támbíéñ sé púédé úsár párá ábúsár dé lá délégácíóñ réstríñgídá éñ dómíñíós dé Wíñdóws médíáñté lá réálízácíóñ dé úñá délégácíóñ réstríñgídá dé Sérvícíó párá Úsúáríó (S4Ú) déñtró dé úñ dómíñíó éspécífícó ó íñclúsó éñtré dómíñíós éñ úñ Bósqúé.]

[Éñ él sígúíéñté éjémpló, pódémós vér qúé él áctór dé áméñázás és cápáz dé vólcár lá íñfórmácíóñ hásh dé crédéñcíálés dé lá mémóríá ý lócálízár úñ ñómbré dé cúéñtá éspécífícó ídéñtífícádó cómó úñá cúéñtá dé ádmíñístrádór. Éstá cúéñtá éstárá préséñté pórqúé éñ álgúñ móméñtó sé hábríá cóñéctádó á ésá máqúíñá.]

[Ésté vólcádó éspécífícó támbíéñ íñclúírá íñfórmácíóñ cómó él sérvídór dé íñícíó dé sésíóñ éñ él dómíñíó. Éstó sé púédé córróbórár cóñ lá íñfórmácíóñ récópíládá dúráñté lá fásé dé déscúbrímíéñtó párá cóñfírmár él cóñtróládór dé dómíñíó dé déstíñó.]

[Éñ él sígúíéñté éjémpló, dé “ítádmíñ” hásh dé cúéñtá ÑTLM qúé sé vértíó áñtéríórméñté, hémós pódídó pásár ésté hásh párá láñzár úñ ñúévó prócésó cmd dé Wíñdóws cóñ él tókéñ prívílégíádó dé ádmíñístrádór élévádó. Éstó sígñífícá qúé él ñúévó prócésó cmd púédé réálízár áccíóñés éñ él cóñtéxtó dé úñá cúéñtá prívílégíádá, áúñqúé él úsúáríó qúé há íñícíádó sésíóñ púédá téñér déréchós dé ádmíñístrádór lócál éñ lá máqúíñá cómprómétídá.]

[Ésté ñúévó prócésó sé éjécútárá cóñ él tókéñ élévádó dél “ítádmíñ”, ló qúé sígñífícá qúé pódémós úsárló párá éjécútár ótrás hérrámíéñtás dé áccésó rémótó párá ápúñtár ý cóñéctársé ál cóñtróládór dé dómíñíó á trávés dé lá réd. Éñ lá ímágéñ dé ábájó, pódémós vér qúé déspúés dé úñ átáqúé páss-thé-hásh éxítósó, úñá hérrámíéñtá sécúñdáríá cómó pówér ádmíñ's PáÉxéc sé púédé útílízár párá llévár á cábó él réstó dél átáqúé cóñéctáñdósé rémótáméñté ál cóñtróládór dé dómíñíó. Él cómáñdó hóstñámé éñ lá ímágéñ cóñfírmá él móvímíéñtó látérál éxítósó táñtó á ñívél dé áplícácíóñ cómó dé réd.]

[Pódémós vérífícár lós sérvícíós éñ éjécúcíóñ éñ lá máqúíñá cóñtróládórá dé dómíñíó párá vérífícár qúé PÁéxéc réálízó úñá cóñéxíóñ cóñ úñ prócésó córréspóñdíéñté. Lá técñícá dé pásár él hásh útílízádá párá géñérár él tókéñ élévádó pór él ádmíñístrádór éñ lá cómpútádórá pórtátíl cómprómétídá, qúé lúégó sé úsó párá éjécútár lá hérrámíéñtá dé ádmíñístrácíóñ rémótá PÁéxéc, túvó éxító cómó sé múéstrá éñ lá ímágéñ á cóñtíñúácíóñ.]

[Éstá és úñá démóstrácíóñ símplé dé cómó lós átácáñtés púédéñ móvérsé látérálméñté, désdé él ñívél dé áplícácíóñ (róbó dé crédéñcíálés éñ lá mémóríá dé prócésó) hástá él ñívél dé réd (smb, msrpc ó http Máchíñé Trávérsál), párá álcáñzár él óbjétívó fíñál: él cóñtróládór dé dómíñíó.]

[ÁTT&C~K: Ímp~áctó~]

[Éñ ésté púñtó, hábíéñdó llégádó ál cóñtróládór dé dómíñíó, él átácáñté éstá á cárgó. Púédéñ prócédér á cópíár árchívós málícíósós ádícíóñálés éñ él cóñtróládór dé dómíñíó dé fórmá rémótá. Pór éjémpló, áhórá pódríáñ cópíár Mímíkátz éñ él cóñtróládór dé dómíñíó ý úsárló párá éxtráér él hásh dé lá cúéñtá dé úsúáríó KRBTGT íñcórpórádá, ádémás dé ótrá íñfórmácíóñ dé dómíñíó, cóñ él fíñ dé láñzár él átáqúé Góldéñ Tíckét. Éstó sé púédé útílízár párá átáqúés dé pásó dél tíckét éñ tódó él dómíñíó.]

[Él átácáñté púédé íñclúsó úsár lás hérrámíéñtás ýá éxístéñtés, vívíéñdó dé lá tíérrá párá ímpléméñtár álgó cómó ráñsómwáré ý cóñéctársé á ótrós sérvídórés séñsíblés, cómó básés dé dátós ó sérvídórés dé áplícácíóñés, párá éxfíltrár áúñ más lós dátós. Éstó pódríá sér PSÉxéc, PówérShéll, SCCM, cúálqúíér hérrámíéñtá dé ádmíñístrácíóñ dé TÍ qúé púédá ímpléméñtár sóftwáré.]

[Dépéñdíéñdó dé lá sófístícácíóñ dél átáqúé, úñ átácáñté púédé úsár tódás lás hérrámíéñtás pérsóñálízádás ó éjécútár códígó sóló éñ lá mémóríá, pór ló qúé él áñálísís dé fírmás dé hérrámíéñtás cómó Mímíkátz sé vúélvé dífícíl dé détéctár ý prévéñír párá cúálqúíér hérrámíéñtá dé ségúrídád. Dé máñérá símílár, él áñálísís dél cómpórtámíéñtó támbíéñ púédé réqúérír múchós récúrsós, pór ló qúé éstás técñícás dé áñálísís púédéñ éstár déshábílítádás, éspécíálméñté éñ éñtórñós dé sérvídórés ó sístémás ópérátívós hérédádós qúé éjécútáñ áplícácíóñés crítícás hérédádás.]

[Síñt~óñíz~á ñúé~stró~ próxí~mó pó~st qú~é éxá~míñá~ lás m~ítíg~ácíó~ñés p~árá é~stós~ átáq~úés.]