Advent of Cyber día 4

Una simulación sirve para comprobar una hipótesis de detección. Registrar qué se ejecutó y qué observamos permite distinguir «el test corrió» de «el control detectó lo que esperábamos». (｀・ω・´)

Contexto histórico: recorrido de Advent of Cyber 2024. Las capturas y respuestas corresponden al ejercicio original.

Advent of Cyber día 3

Objetivos:

Utilización del MITRE ATT&CK
Utilización de Atomic Red Team
Creación de reglas de alerta y detección, según los resultados de las pruebas

Herramientas y conocimientos usados:

Comienzo

Algo importante que debemos tener en consideración antes de comenzar: Nada es perfecto, incluyendo la detección. Por lo tanto debemos siempre apuntar a hacer más pequeñas estas brechas de seguridad. Las brechas son muchas veces por las siguientes razones:

Cada vez que encontramos brechas, el equipo rojo u atacantes seguirán buscando más.
La línea entre normal y anómalo es muy delgada, lo que hace difícil crear reglas precisas que además permitan anomalías esperadas

Cyber Kill Chain

La cyber kill chain es un modelo desarrollado por Lockheed Martin que muestra las distintas etapas típicas de un ataque cibernético, está basado en conceptos militares pero se ha adaptado a la ciberseguridad.

Tabla con las etapas, descripción, ejemplos y acciones que puede tomar la defensa para mitigar.

Stage	Description	Common Examples	Defender Actions
Reconnaissance	Gathering target information	- Network scanning - Social media research - Email harvesting - OSINT gathering	- Limit public information - Hide network details - Monitor for scanning activities
Weaponization	Creating attack tools	- Malware development - Exploit modification - Payload packaging	- Keep systems patched - Monitor threat intelligence - Study common attack tools
Delivery	Getting weapons to target	- Phishing emails - Malicious websites - USB drops - Drive-by downloads	- Email filtering - Web filtering - USB disable policies - User training
Exploitation	Breaking into the system	- Software vulnerabilities - Zero-day exploits - Social engineering	- Regular patching - Security updates - Endpoint protection - Access controls
Installation	Establishing persistence	- Malware installation - Backdoor creation - Registry modifications	- Application whitelisting - Behavior monitoring - File integrity monitoring
Command & Control	Setting up remote control	- Hidden communication channels - Covert protocols - Remote access tools	- Network monitoring - Traffic analysis - Firewall rules - IDS/IPS systems
Actions on Objectives	Achieving attack goals	- Data theft - Ransomware deployment - System destruction - Further lateral movement	- Data encryption - Backup systems - Access logging - Incident response plans

MITRE ATT&CK

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge), es un framework utilizado para entender las distintas técnicas y tácticas que los actores de amenaza realizan. Es una recolección de tácticas, técnicas y procedimientos que han sido implementadas en la realidad, de este modo podemos entenderlas mejor. La base se apoya en comportamientos observados; también sirve para organizar pruebas, sin demostrar por sí sola cobertura de detección.

Atomic Red

Atomic Red Team es una biblioteca de casos de prueba que están mapeados al ATT&CK. Son casos sencillos que pueden ser ejecutados para detectar brechas de seguridad y cerrarlas. Además soporta automatización para ejecutar pruebas periódicas de forma automática.

Parametro	Explicación	Ejemplo
`-AtomicTechnique`	Define la técnica a emular. Identificador de técnica, por ejemplo `T1566.001`. Puede pasarse por posición; no significa omitir el argumento ni sustituirlo por cualquier nombre descriptivo	`Invoke-AtomicTest -AtomicTechnique T1566.001`
`-ShowDetails`	Muestra los detalles de cada prueba incluída	`Invoke-AtomicTest T1566.001 -ShowDetails`
`-ShowDetailsBrief`	Muestra el título de cada prueba incluída	`Invoke-AtomicTest T1566.001 -ShowDetailsBrief`
`-CheckPrereqs`	Revisa si todo los componentes necesarios están presentes para la prueba	`Invoke-AtomicTest T1566.001 -CheckPrereqs`
`-TestNames`	Setea las pruebas que quieres ejecutar, usando el nombre completo	`Invoke-AtomicTest T1566.001 -TestNames "Download Macro-Enabled Phishing Attachment"`
`-TestGuids`	Setea las pruebas que quieres ejecutar usando el identificador	`Invoke-AtomicTest T1566.001 -TestGuids 114ccff9-ae6d-4547-9ead-4cd69f687306`
`-TestNumbers`	Setea las pruebas que quieres ejecutar usando el número de prueba. Limitado a la técnica atómica	`Invoke-AtomicTest T1566.001 -TestNumbers 2,3`
`-Cleanup`	Ejecuta los comandos de limpieza que fueron configurados previamente para realizar las acciones de limpieza definidas. No garantiza restaurar todo el estado anterior.	`Invoke-AtomicTest T1566.001 -TestNumbers 2 -Cleanup`
Vamos a ejecutar T1566.001 con Atomic.

T1566.001

Si buscamos T1566.001 en el sitio de MITRE, nos encontramos con lo siguiente:

Básicamente podemos entender que es un tipo de Spearphishing con un adjunto. Esto también podemos verlo ejecutando el comando Invoke-AtomicTest T1566.001 -ShowDetails

La información que nos entrega este comando es:

Técnica: El nombre del MITRE ATT&CK que será testeado
Atomic Test Name: Nombre descriptivo de la prueba a ejecutar
Atomic Test Number: Número asignado a la prueba
Atomic Test GUID: Número ID único de la prueba
Descripción: Detallada
Attack Commands: Comandos que se ejecutaran durante la prueba, incluyendo quién los ejecuta y los privilegios requeridos, nos permite buscar los artefactos en el Windows Event Viewer
Cleanup Commands: Comandos que se ejecutaran para revertir la máquina a su estado inicial
Dependencias: Los recursos requeridos que deben estar presentes para ejecutar las pruebas

Primero debemos revisar si están los recursos necesarios: Invoke-AtomicTest T1566.001 -TestNumbers 1 -CheckPrereqs

Ahora ejecutamos el comando: Invoke-AtomicTest T1566.001 -TestNumbers 1

Se ha ejecutado con éxito. Ahora deberíamos revisar a través del System Monitor (de Windows) lo que ha ocurrido. Primero correremos el cleanup de Atomic Invoke-AtomicTest T1566.001 -TestNumbers 1 -cleanup Y nos iremos al Sysmon:

Event Viewer
Apllications and Services
Microsoft
Windows
Sysmon
Operational

Podemos ver ahí en el tercer evento la siguiente información:

ID de proceso
la línea de comando lanzada donde tenemos:
- "powershell.exe" & {$url = 'http://localhost/PhishingAttachment.xlsm' Invoke-WebRequest -Uri $url -OutFile $env:TEMP\PhishingAttachment.xlsm}
- Esto nos entrega lo que se ejecuta, la URL desde donde saldría el adjunto, la invocación de webrequest, la url y a dónde llega cuando se descarga

Con esta información podemos crear reglas de alerta.

Alertas

Hay distintos formatos de alerta incluyendo Yara, Sigma, Snort, etc. Gracias a la información obtenida, podemos crear reglas en sigma. Tenemos por ejemplo detalles importantes como WebRequest, la url y el nombre del archivo descargado.

title: Laboratory PowerShell Download Of PhishingAttachment
id: 639c699d-a1e0-41dd-8b89-0de75e53314b
status: experimental
description: Identifica el comando del ejercicio; no demuestra descarga exitosa ni phishing.
author: Floure and Tachibana Guild
date: 2026-10-20
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\powershell.exe'
    CommandLine|contains|all:
      - 'Invoke-WebRequest'
      - 'PhishingAttachment.xlsm'
  condition: selection
falsepositives:
  - Administracion o reproduccion legitima del laboratorio
level: low
tags:
  - attack.execution
  - attack.t1059.001

En la parte de detection es donde ocurre la detección. Este ejemplo detecta un evento de proceso, no correlaciona creación de archivo con ejecución. Validar esquema, convertir al backend y probar falsos positivos antes de incorporarlo a un sistema de detección.

Correremos un segundo ataque donde se realice un ransomware a través del shell

Preguntas

¿Cuál es la bandera que se encuentra en el archivo .txt, que está en el mismo directorio del artefacto PhishingAttachment.xslm?
- Debemos navegar al lugar de origen que obtenemos al revisar los detalles en el Sysmon
¿Qué ID de ATT&CK sería nuestro punto de interés?
- Buscar en el sitio de MITRE
¿Cuál es la sub ID que se enfoca en Windows Command Shell?
- En el ID anterior que buscamos en MITRE, podemos revisar en la parte de la izquierda donde está. Tenemos el formato TXXXX.subID
¿Cuál es el nombre de la técnica Atómica a probar?
- Podemos obtenerla con la bandera -ShowDetails de Atomic
¿Cuál es el nombre del archivo usado en la prueba?
- En el mismo -ShowDetails está la respuesta del archivo
¿Cuál es la bandera que encontramos si realizamos la prueba?
- Realizar la prueba y buscar el archivo :)

Con esto hemos completado el día 4

Por cierto... la bandera la podemos ingresar en Cyberchef y nos entrega un mensajito acerca de nuestro personaje glitch.

Procedemos al Advent of Cyber día 5

Fuentes de sintaxis: Invoke-AtomicTest, código oficial, Sigma, especificación y Sysmon. El modelo Kill Chain no obliga a que cada ataque recorra todas sus etapas en ese orden.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: 57d500e33844          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+