Esta cronología se basa en una simulación APT real y anonimizada en una empresa mediana: unos 1.500 objetos en Active Directory, EDR instalado en todos los terminales, un SOC en horario 8x5. El objetivo de la misión era estrecho: exfiltración demostrada de datos desde el servidor de ficheros de RR. HH. Sin día cero y sin herramientas exóticas: 36 horas desde el primer phishing hasta el control total del dominio.
-
Hora 0
Acceso inicial (T1566, T1078)
Un correo de phishing con aspecto de aviso interno lleva a una página de acceso clonada. El usuario introduce credenciales válidas; la verificación de MFA se deja pasar porque el acceso proviene de un dispositivo reconocido como gestionado. Para el SOC, un inicio de sesión corriente.
-
Hora 2
Foothold (T1059, T1105)
En el portátil, un implante pequeño lanzado desde memoria establece la sesión sin escribir nada en disco. El agente EDR funciona en modo pasarela en ese equipo: figuraba en una lista de excepciones durante su alta. La primera ocasión de frenar la operación se desperdició.
-
Hora 6
Descubrimiento (T1069, T1087)
Reconocimiento casi por completo con utilidades del sistema: sesiones, recursos compartidos, listas de equipos. Más una única herramienta de enumeración firmada colocada en local. Sin alertas.
-
Hora 12
Kerberoasting (T1558.003)
Los tickets de las cuentas de servicio se extraen y se rompen sin conexión. Uno cae en minutos: 22 caracteres, pero montados a partir del nombre de la empresa y el año. Las contraseñas de cuentas de servicio son de las que menos se rotan en un AD.
-
Hora 18
Movimiento lateral (T1021.001)
La cuenta de servicio es administradora local en dos servidores de aplicación. El salto se produce por RDP. Desde allí: tickets en memoria, un recurso compartido de ficheros de configuración y un trabajo de copia con un candidato de contraseña de servicio. La segmentación entre cliente, aplicación y gestión solo existe en el papel.
-
Hora 26
Escalada (T1098, T1003.006)
Una delegación olvidada permite a la cuenta gestionar grupos de una OU. La cuenta de equipo del implante se añade a un grupo operativo privilegiado; tras la replicación, DCSync con la cuenta nueva. Administrador del dominio.
-
Hora 36
Misión (T1041)
Desde la posición de administrador de dominio el camino hasta el servidor de RR. HH. es recto: 1,4 GB se preparan y se exfiltran por HTTPS en una ventana nocturna de 90 minutos, camuflados como tráfico de copia de seguridad.
Revisada la cronología con el equipo azul: cinco de los siete pasos eran alertables con las herramientas ya instaladas – consumo anómalo de Kerberos, miembros nuevos en grupos privilegiados, derechos de DCSync que aparecen de la noche a la mañana, la excepción del EDR, el comportamiento de la sesión en memoria. No fue un día cero: fueron caminos de identidad y configuración combinados con falta de detección.
El informe incluía la cronología completa con todos los indicadores de compromiso y recomendaciones priorizadas de logging, endurecimiento y detection engineering. La lección rima con todo lo que escribimos: el control no termina en el acceso, termina en la detección.
Boutique profesional de seguridad europea para pruebas de penetración de élite, Red Teaming y desarrollo de exploits.