Un ataque no es un evento. Es una cadena.
Sigue una intrusión real de principio a fin —del correo de phishing al borrado de logs— y mira, en cada fase, qué rastro deja y con qué herramienta lo cazas. Todo enlaza al arsenal.
Entrega — Phishing
ATT&CK · T1566Llega un correo con un adjunto o un enlace. Parece de un remitente conocido; la ruta real y la autenticación cuentan otra historia.
Ejecución — Macro → PowerShell
ATT&CK · T1059.001El usuario abre el adjunto. Una macro lanza powershell -enc <base64> — código ofuscado que corre en memoria.
Command & Control
ATT&CK · T1071El script descarga la siguiente etapa (un download cradle) y empieza a balizar contra un servidor C2. La máquina ya no es tuya.
Persistencia
ATT&CK · T1543.003Para sobrevivir a un reinicio, el atacante instala un servicio o una tarea programada. PsExec, por ejemplo, crea un servicio temporal.
Escalada — Credenciales
ATT&CK · T1003.001Vuelca la memoria de LSASS para robar hashes y tickets. Con credenciales de administrador, el dominio entero está al alcance.
Movimiento lateral
ATT&CK · T1021Salta de máquina en máquina con PsExec, WMI o RDP, usando las credenciales robadas hasta llegar a lo que le interesa.
Impacto — Exfiltración y anti-forense
ATT&CK · T1070.001Roba los datos, quizá cifra, y borra los registros de eventos para tapar el rastro. Aquí ya no previenes: respondes.
Cada fase tiene su herramienta.
Has visto la cadena entera. Ahora ten el arsenal a mano para cortarla — en la fase que sea, cuanto antes mejor.
Explorar el arsenal →