Tras un clic en un phishing, ¿cómo pasan los atacantes de un portátil al resto de la red?

Normalmente en unos pocos pasos previsibles. El archivo o enlace malicioso les da un canal de control remoto hacia su propio servidor, que se ve como conexiones salientes regulares. Luego exploran: qué servidores, recursos compartidos y cuentas existen, a menudo escaneando la red interna o consultando el directorio. Después reúnen más credenciales, de la memoria del portátil, de las contraseñas guardadas en el navegador o de otros sistemas, y las usan para entrar en otras máquinas con herramientas de administración normales como el escritorio remoto, PowerShell remoto o carpetas compartidas. Desde ahí apuntan al controlador de dominio, a las copias de seguridad y a los almacenes de datos. Cada paso deja un rastro en la red: conexiones nuevas entre máquinas internas que rara vez se hablan, escaneos, protocolos de administración desde un portátil corriente y datos que se mueven a lugares inusuales. Esos rastros son lo que vigila la detección y respuesta de red (NDRNDR: network detection and response (detección y respuesta de red). Monitorización de seguridad que observa el tráfico entre dispositivos y genera una alerta cuando uno se comporta como un atacante.), y por eso un clic en un phishing no tiene por qué acabar en una intrusión completa.

← Las 29 preguntas sobre Phishing y qué hacer despuésTodos los temas