¿Qué es un intermediario de acceso inicial (initial access broker)?

Un intermediario de acceso inicial es un delincuente que entra en empresas y vende ese acceso a otros en lugar de usarlo: credenciales de VPN, accesos de escritorio remoto, una web shell en un servidor o el control de un portátil infectado. Los grupos de ransomware y otros delincuentes compran ese acceso en mercados criminales y empiezan su ataque desde ahí, a veces semanas después. Para la víctima esto tiene dos consecuencias. La primera intrusión puede ser silenciosa y parecer ajena al daño posterior, y quien cifra puede no ser quien entró. Y el tiempo entre el acceso y el ataque es una oportunidad: cuentas usadas desde lugares inusuales, una herramienta de acceso remoto nueva o un servidor que llama a una dirección externa pueden detectarse antes de que llegue el comprador. NetSenX detecta el beaconing y las sesiones nuevas que suele producir ese acceso, en todos los planes; los registros de identidad muestran los inicios de sesión.

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas