Ataques con Nivel de Complejidad Comparable y Avanzados
Ataque a NAS y Dispositivos de Almacenamiento Expuestos
Búsqueda
Herramientas como Shodan, Censys o ZoomEye son útiles para localizar estos dispositivos.
Ejemplo de búsqueda: "NAS" port:5000 para Synology o "QNAP" port:8080 para dispositivos QNAP.
Vulnerabilidades comunes
- Firmware desactualizado con vulnerabilidades conocidas (CVEs)
- Acceso remoto habilitado por defecto
- Uso de credenciales predeterminadas
- Protocolos inseguros como FTP sin cifrado
Explotación
- Aprovechamiento de vulnerabilidades en el firmware
- Uso de credenciales por defecto para acceder al sistema
Persistencia
- Implantación de webshells
- Creación de cuentas de administración ocultas
Movimiento lateral
Escaneo de la red interna y pivoting hacia otros sistemas.
Ejemplo real
Ransomware DeadBolt, que ha afectado a dispositivos NAS.
Compromiso de Cámaras IP y NVR
Reconocimiento
Búsquedas en Shodan con términos como port:554 o "GoAhead" "webcam".
Vulnerabilidades comunes
- Firmware con fallos de ejecución remota de código (RCE)
- Interfaces web expuestas a Internet sin protección
- Protocolos RTSP sin autenticación
Explotación
- Explotación de vulnerabilidades RCE
- Uso de firmware sin parches de seguridad
Persistencia
- Establecimiento de túneles reversos
- Implementación de scripts persistentes
Uso malicioso
Espionaje, participación en ataques DDoS o pivoting interno.
Explotación de Impresoras de Red Corporativas
Búsqueda
Shodan con términos como port:9100 o port:631.
Vulnerabilidades comunes
- Servicios como JetDirect sin autenticación
- Interfaces administrativas sin contraseña
- Firmware no actualizado
Explotación
- Instalación de firmware malicioso
- Uso de PostScript para ejecutar comandos
Persistencia
- Ejecución de scripts en memoria
- Cambio de contraseñas para mantener el acceso
Movimiento lateral
Uso de la impresora como proxy para acceder a otros sistemas.
Ataques a PLCs y Dispositivos ICS/SCADA
Reconocimiento
Búsquedas en Shodan con términos como port:502 (Modbus) o "Siemens" port:102.
Vulnerabilidades comunes
- Protocolos ICS sin autenticación
- Sistemas críticos conectados directamente a Internet
- Firmware obsoleto sin parches
Explotación
- Modificación de lógicas de control
- Cambios peligrosos en operaciones industriales
Persistencia
- Alteración del firmware
- Cambio de credenciales para mantener el acceso
Impacto
- Paro de producción
- Sabotaje físico de equipos
Ataque Multi-Etapa a Servidor Web Expuesto
Reconocimiento
Uso de herramientas como Gobuster, Dirb o Nmap.
Vulnerabilidades comunes
- Falta de validación de entrada
- Parches de seguridad pendientes
- Directorios sin protección adecuada
Explotación
Ataques como LFI/RFI, ejecución remota de código (RCE) o inyección SQL.
Persistencia
- Implantación de webshells
- Creación de usuarios ocultos
Movimiento lateral
Escaneo interno y pivoting hacia otros sistemas.
Compromiso Avanzado de Active Directory
Reconocimiento
Herramientas como BloodHound, LDAPRecon o nmap smb-enum.
Vulnerabilidades comunes
- Configuración inadecuada de Kerberos
- Contraseñas débiles
- Falta de segmentación de red
Explotación
- Técnicas como Kerberoasting o AS-REP Roasting
- Pass-the-Hash para moverse lateralmente
Persistencia
- Uso de Golden/Silver Tickets
- Creación de cuentas shadow admin
Post-Explotación
Control total del dominio.
Ataque a la Cadena de Suministro (Supply Chain Attack)
Reconocimiento
Identificación de software o librerías vulnerables en GitHub, npm o PyPI.
Vulnerabilidades comunes
- Dependencias externas no verificadas
- Falta de validación de firmas digitales
- Ausencia de auditorías de seguridad
Explotación
Inserción de código malicioso en dependencias.
Persistencia
Propagación del código malicioso a través de actualizaciones.
Impacto
Compromiso masivo de sistemas que utilizan las dependencias afectadas.
Ataque a Entornos Virtualizados y Contenedores
Reconocimiento
Búsquedas en Shodan con términos como product:"Docker" o product:"Kubernetes".
Vulnerabilidades comunes
- APIs abiertas sin autenticación
- Configuraciones inseguras
- Falta de aislamiento entre contenedores
Explotación
Escape de contenedor para acceder al host.
Persistencia
Instalación de daemons maliciosos.
Post-Explotación
Pivoting hacia otros sistemas en la nube.
Ataques a Infraestructura Satelital y RF
Reconocimiento
Uso de SDR (Software Defined Radio) y análisis de espectro.
Vulnerabilidades comunes
- Señales sin cifrado
- Falta de autenticación fuerte
- Firmware vulnerable
Explotación
- Inyección de comandos en señales no protegidas
- Interferencia con señales legítimas
Persistencia
Alteración de configuraciones en dispositivos afectados.
Impacto
Interrupción de comunicaciones críticas.
Ataques Multi-Vector Coordinados
Reconocimiento
Combinación de OSINT, Shodan, Censys y escaneo activo.
Vulnerabilidades comunes
- Falta de defensa en profundidad
- Sistemas expuestos sin monitoreo adecuado
- Usuarios vulnerables a phishing
Explotación
Combinación de ataques a IoT, servidores e ingeniería social.
Persistencia
Instalación de backdoors en múltiples dispositivos.
Post-Explotación
Uso de un servidor de comando y control (C2) centralizado.