¿Qué es el abuso de PsExec o de los recursos compartidos administrativos, y por qué no lo señala el antivirus?
PsExec y herramientas parecidas ejecutan órdenes en un ordenador remoto copiando un pequeño servicio a través de sus recursos compartidos administrativos e iniciándolo, y los protocolos de gestión remota como WinRM y el escritorio remoto hacen un trabajo similar. Los administradores los usan a diario, y por eso el antivirus suele dejarlos pasar: la herramienta está firmada y es legítima, solo falla el contexto. Los atacantes los usan para extenderse de una máquina a muchas, desplegar ransomware en todos los servidores a la vez o ejecutar scripts con credenciales de administrador robadas. Lo que los delata es quién los usa, desde dónde y cuándo: un puesto de trabajo que a la 1:30 abre sesiones de administración hacia servidores que nunca había usado, o una cuenta que toca decenas de equipos en minutos. Limite qué máquinas pueden administrar a otras. NetSenX detecta estas sesiones nuevas de administración entre equipos como movimiento lateral en todos los planes.
Siga leyendo
Preguntas relacionadas
- ¿Pueden los atacantes moverse por nuestra red con contraseñas robadas y sin malware?
- ¿Debemos detectar el movimiento lateral con los registros de autenticación o con los flujos de red?
- ¿Qué es la detección del movimiento lateral basada en grafos?
- ¿Pasan por alto las herramientas basadas en reglas los caminos de ataque nuevos?
- ¿Por qué escanearía una impresora nuestra red, y pueden usarse las impresoras para atacar otros ordenadores?
← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas