Hace unas semanas hablábamos en el Blog del Blue Team, como un componente esencial de la estrategia de ciberseguridad de una empresa u organización. Hoy explicamos en qué consiste su contrario, el Red Team.

En todas las empresas, la seguridad informática es fundamental en esta nueva era digital en la que vivimos. Acostumbrados a oír noticias sobre ataques de ciberseguridad, en empresas que trabajan con datos importantes y hacen operaciones relevantes, vemos que se hace necesario que cada organización tenga una estrategia preventiva y de respuesta que le aleje de los riesgos derivados de ataques, como por ejemplo de malware, ransomware, o robo de datos. Por ello, si lo que busca es mantener la integridad y la reputación de la organización, es esencial implementar medidas de seguridad, y de forma óptima, con una estrategia integral como la que ofrece Ciberso.

¿Qué es el Red Team?

Si el Blue Team se encarga de la línea de defensa de una organización, la principal función del Red Team es poner a prueba esas medidas de protección.

Un correcto ejercicio de Red Team supone escenificar un ataque a una organización, en el que un grupo de personas (interno o externo) miden la facilidad o dificultad que hay en una empresa a la hora de acceder a sus sistemas. Además, ese ejercicio permite identificar cuáles son los puntos débiles de dicha organización y a evaluar el impacto de un potencial ataque sobre el negocio.

El enfoque va dirigido a una búsqueda de debilidades críticas que hacen vulnerables a esa organización de cara al acceso de sistemas. Un punto importante aquí es que el equipo no recibe una notificación de que este ataque va a tener lugar, pues el objetivo es preparar a la empresa para un escenario imprevisto.

En conclusión, el Red Team, evalúa cuál es la capacidad de reacción del Blue Team, en todos los casos, con el fin de reforzar la seguridad, detectar intrusiones y solucionar el incidente en el menor tiempo posible.

Metodología de Red Team

El enfoque de esta metodología va dirigido a saber evaluar cuál es la seguridad que tiene una empresa a la hora de acceder a sus datos internos. A continuación, observaremos las fases en las que se divide la metodología a seguir:

1.- Reconocimiento

Objetivo: recopilar la mayor cantidad de información posible sobre la organización objetivo para planificar y ejecutar un ataque efectivo.

Actividades:

• Búsqueda de información en fuentes públicas (OSINT): Sitios web, redes sociales, registros DNS, etc.
• Escaneo de redes para identificar activos y vulnerabilidades.
• Mapeo de la red para comprender la topología y los flujos de tráfico.

Herramientas:

• Nmap: escáner de redes.
• Shodan: motor de búsqueda de dispositivos conectados a internet.
• Maltego: herramienta de inteligencia de amenazas.

2.- Enumeración y escaneo

Objetivo:  obtener información detallada de cada activo identificado para encontrar vulnerabilidades explotables.

Actividades:

• Escaneos automáticos para detectar vulnerabilidades conocidas.
• Análisis manual del código fuente y configuraciones.
• Simulaciones de ataques para evaluar la resistencia de los sistemas.

Herramientas:

• Nessus: escáner de vulnerabilidades popular con informes detallados.
• Metasploit: marco de pruebas de penetración completo para automatizar tareas, explotar vulnerabilidades y generar informes.
• Wireshark: analizador de tráfico de red para detectar anomalías e intrusiones.

3.- Explotación

Objetivo: infiltrarse en los sistemas de la organización utilizando las vulnerabilidades descubiertas.

Actividades:

• Ejecutar los exploits para obtener acceso inicial.
• Elevar los privilegios de usuario a nivel de administrador.
• Instalar herramientas para mantener el acceso y realizar acciones posteriores.

Herramientas:

• Burp Suite: proxy web para interceptar y analizar el tráfico HTTP/S.
• Metasploit: framework para pentesting y explotación de vulnerabilidades.
• John the Ripper: herramienta para realizar ataques de fuerza bruta.

4.- Escalada de privilegios

La Escalada de Privilegios en Red Team figura como técnicas empleadas por atacantes para elevar sus permisos de acceso dentro de un sistema o red, superando las limitaciones iniciales y obteniendo un control más profundo. Esto le otorga un acceso más extenso y poderoso, posibilitando acciones que antes le eran imposibles, como:

• Instalar malware.
• Robar datos confidenciales.
• Tomar el control de sistemas críticos.
• Deshabilitar o modificar medidas de seguridad.

Actividades:

• Explotación de vulnerabilidades: buscar y aprovechar vulnerabilidades en software, aplicaciones o configuraciones.
• Búsqueda de credenciales: obtener credenciales de usuarios con privilegios elevados.
• Explotación de configuraciones incorrectas: identificar y explotar configuraciones inadecuadas para obtener privilegios adicionales..

Herramientas:

• Mimikatz: realiza extracción de credenciales de la memoria.
• PowerSploit: ejecutar scripts de ataque en Windows.
• John the Ripper: diferentes tipos de ataques para descifrar contraseñas.

5.- Movimiento lateral

Objetivo: expandir su presencia y comprometer sistemas adicionales, cuentas de usuario y datos sensibles.

Actividades:

• Búsqueda de credenciales: obtener credenciales de usuarios con privilegios elevados.
• Abuso de privilegios legítimos: aprovechar los privilegios existentes para escalar a niveles superiores.
• Explotación de configuraciones incorrectas: identificar y explotar configuraciones inadecuadas para obtener privilegios adicionales.

Herramientas:

• CrackMapExec: ataques en Active Directory y movimiento lateral en Windows.
• BloodHound: mapeo de dominios Active Directory y detección de vectores de ataque.
• PsExec: ejecución remota de procesos en Windows.

6.- Mantenimiento del acceso (persistence)

Esta fase se centra en establecer mecanismos duraderos para mantener el acceso a los sistemas comprometidos y facilitar el regreso futuro.

Actividades:

• Instalación de backdoors para permitir el acceso remoto y la ejecución de comandos.
• Establecimiento de túneles para enmascarar el tráfico y evitar la detección por parte de los sistemas de seguridad.
• Ocultar los archivos maliciosos y las herramientas para dificultar su detección y eliminación.
• Automatización de tareas: Se automatizan tareas repetitivas como la recopilación de información y la instalación de actualizaciones de backdoors.

Herramientas:

• Cobalt Strike: una herramienta que ofrece una amplia gama de capacidades para la creación de backdoors y persistencia de acceso en los sistemas.
• Empire: es un framework de código abierto y multiplataforma. En esta fase facilita el desplazamiento del atacante dentro de la red comprometida.

7.- Exfiltración de datos (data exfiltration)

Objetivo: se realiza el robo y sustracción de datos confidenciales de la red o sistemas objetivo de manera sigilosa e indetectable.

Actividades:

• Obtención o robo datos confidenciales de forma sigilosa.
• Selección de métodos de exfiltración de datos.
• Encubrimiento de la actividad para no ser detectados.

Herramientas:

• DNSExfiltrator: exfiltración de datos a través de consultas y respuestas DNS.
• FTP Clients: Filezilla, WinSCP para Transferencia de archivos simple.
• PuTTY, ngrok, proxys: creación de túneles SSH y proxies
• Steghide, Outguess, Stegols: ocultar datos en imágenes y otros archivos.

8.- Limpieza

Objetivo: eliminar evidencia de la actividad del Red Team y proteger la integridad del sistema y la red.

La ejecución de esta fase dependerá del entorno donde se ejecutará el Red Team, debido a que en algunos casos se realiza en entornos controlados.

Actividades:

• Eliminación de archivos y registros temporales.
• Restauración de configuraciones modificadas.
• Verificación de la integridad de los sistemas.
• Documentación de las acciones de limpieza.

Herramientas:

• CCleaner: para la eliminación de archivos temporales y registros.
• PowerShell: para el borrado de eventos específicos de Windows.

9.- Informe y evaluación (reporting and evaluation)

Objetivo: documentar de manera clara, concisa y detallada las vulnerabilidades identificadas, su potencial impacto en la organización y las recomendaciones propuestas para mitigar los riesgos asociados.

Actividades: