Tema 14
Después del acceso inicial, muchas amenazas intentan permanecer, obtener más privilegios y moverse hacia otros sistemas. Entender estas fases desde la defensa permite detectar señales tempranas, contener alcance y reducir impacto.
Una infección no termina cuando el malware se ejecuta por primera vez. En muchos incidentes, el acceso inicial es solo la puerta de entrada. Luego aparecen intentos de persistir, elevar privilegios, descubrir el entorno y moverse hacia otros sistemas.
Estas fases son críticas porque determinan el alcance real del incidente. Una muestra aislada en un equipo de laboratorio puede parecer limitada; en una red corporativa, la misma lógica puede permitir acceso a credenciales, servidores, recursos compartidos o sistemas críticos.
Este tema aborda persistencia, escalada y movimiento lateral desde la defensa: qué significan, qué evidencias dejan, cómo priorizar análisis y qué controles reducen riesgo.
Después de ejecutar código en un sistema, una amenaza puede seguir varias rutas. No todas las muestras implementan todas las fases, pero comprenderlas ayuda a ordenar la investigación.
Persistencia es la capacidad de volver a ejecutarse después de reinicio, cierre de sesión, eliminación parcial o finalización del proceso. Puede ser simple o muy sofisticada.
Objetivos de la persistencia:
Los mecanismos de persistencia suelen abusar de funciones legítimas del sistema. Por eso, el análisis debe distinguir uso administrativo normal de cambios sospechosos por contexto.
| Mecanismo | Evidencia típica | Qué revisar |
|---|---|---|
| Claves Run / RunOnce | Valores nuevos apuntando a ejecutables o scripts | Ruta, usuario, proceso creador y hora |
| Tareas programadas | Tareas nuevas o modificadas | Disparador, comando, cuenta y descripción |
| Servicios | Servicio instalado con binario sospechoso | Tipo de inicio, cuenta y ruta |
| Carpeta de inicio | Acceso directo, script o ejecutable agregado | Extensión real y destino |
| WMI o eventos | Filtros y consumidores persistentes | Condición de activación y comando |
| Extensiones o plugins | Componentes cargados por aplicaciones | Origen, firma y permisos |
En Linux, la persistencia también usa mecanismos legítimos: servicios, cron, scripts de inicio, perfiles de shell, unidades systemd, claves SSH o modificaciones de binarios y bibliotecas.
Evidencias comunes:
El principio defensivo es el mismo: relacionar cambio, usuario, hora, proceso y justificación operativa.
Escalada de privilegios es pasar de un contexto con permisos limitados a otro con mayores capacidades. Puede ser local, cuando ocurre dentro del mismo host, o asociada a servicios y credenciales para acceder a otros sistemas.
Motivos para escalar:
Desde la mirada defensiva, interesa identificar condiciones que permiten escalar y corregirlas.
| Causa | Ejemplo defensivo | Mitigación |
|---|---|---|
| Software vulnerable | Servicio local con falla conocida | Parcheo y reducción de exposición |
| Permisos débiles | Directorio de servicio escribible por usuarios comunes | Revisar ACL y mínimos privilegios |
| Credenciales expuestas | Contraseñas en scripts o archivos de configuración | Gestión de secretos y rotación |
| Servicios mal configurados | Binario reemplazable o ruta insegura | Endurecimiento y validación de rutas |
| Privilegios excesivos | Usuarios con permisos administrativos innecesarios | Revisión de roles y acceso mínimo |
Una escalada puede dejar rastros directos o indirectos. El analista debe comparar el contexto original con el contexto posterior.
No toda elevación es maliciosa. La clave es verificar proceso iniciador, usuario, tiempo, comando y relación con la muestra o incidente.
Las credenciales son una vía frecuente para expansión. Un atacante puede buscar contraseñas, hashes, tokens, cookies, claves SSH, tickets o secretos de aplicaciones.
Fuentes sensibles:
Movimiento lateral es el desplazamiento desde un sistema comprometido hacia otros dentro del entorno. Puede usar credenciales válidas, servicios remotos, herramientas administrativas, recursos compartidos o explotación de vulnerabilidades.
Objetivos habituales:
El movimiento lateral suele verse mejor al correlacionar endpoint, red y autenticación.
| Fuente | Señal | Interpretación posible |
|---|---|---|
| Autenticación | Logons remotos inusuales | Uso de credenciales desde host no habitual |
| Endpoint | Creación remota de procesos | Ejecución administrativa o abuso de herramientas |
| Red | Conexiones a muchos hosts internos | Reconocimiento o propagación |
| Archivos compartidos | Copias de binarios o scripts a shares | Preparación de ejecución remota |
| Servicios | Servicios creados temporalmente | Ejecución lateral o despliegue |
Antes de moverse, muchas amenazas hacen reconocimiento: usuarios, grupos, dominios, recursos compartidos, segmentos, procesos, software instalado y permisos.
Evidencias posibles:
Muchas fases post-compromiso abusan de herramientas legítimas ya presentes en el sistema. Esto dificulta la detección porque la herramienta no es maliciosa por sí misma; el contexto lo es.
Indicadores de abuso:
El malware puede implementar directamente persistencia, robo de credenciales o movimiento lateral, o puede actuar como facilitador para que un operador o componente posterior lo haga.
Durante el análisis de una muestra, conviene identificar:
Cuando aparecen señales post-compromiso, la prioridad defensiva debe ampliarse desde "eliminar archivo" hacia "determinar alcance".
La contención busca detener expansión y preservar evidencia. Debe equilibrar rapidez y visibilidad: aislar demasiado pronto puede cortar actividad, pero también impedir ver alcance; esperar demasiado puede permitir daño.
| Acción | Cuándo aporta | Cuidado |
|---|---|---|
| Aislar endpoint | Cuando hay actividad activa o expansión | Preservar memoria y logs si es posible |
| Deshabilitar credenciales | Si hay evidencia de robo o abuso | Coordinar impacto operativo |
| Bloquear IOCs | Con indicadores confiables | Evaluar falsos positivos |
| Cerrar rutas laterales | Servicios, shares o accesos abusados | No destruir evidencia sin registro |
| Detener tareas o servicios | Persistencia confirmada | Guardar configuración antes de eliminar |
Erradicar implica eliminar mecanismos de persistencia, componentes maliciosos, cuentas indebidas, configuraciones alteradas y causas raíz. Recuperar implica devolver sistemas a operación confiable.
Acciones típicas:
Las detecciones deben enfocarse en combinaciones de comportamiento y contexto.
La prevención reduce oportunidades de persistencia, escalada y movimiento lateral.
MITRE ATT&CK ofrece una taxonomía útil para mapear técnicas de adversarios. Puede ayudar a comunicar hallazgos, comparar cobertura defensiva y organizar detecciones.
Para este tema, las tácticas más relacionadas son:
El mapeo debe hacerse con evidencia. No conviene asignar técnicas por similitud superficial.
Persistencia, escalada de privilegios y movimiento lateral conectan el análisis de una muestra con el riesgo real para una organización. Comprender estas fases permite pasar de indicadores aislados a una investigación de alcance y respuesta.
En el próximo tema analizaremos comunicaciones: C2, DNS, HTTP, TLS, beaconing y exfiltración, para entender cómo una amenaza se coordina, recibe órdenes y mueve datos.