Panorama: cruzar la primera frontera#

La metodología de pentest describió el compromiso como una cadena de eslabones, y todos los capítulos anteriores de esta Parte trabajaron eslabones que ocurren después de estar dentro: explotar un servicio web, escalar privilegios, moverse lateralmente, persistir. Este capítulo trata el eslabón previo a todos ellos, el que cruza la frontera que separa el afuera del adentro: el acceso inicial (initial access). Es el momento en que un operador que no tiene ningún punto de apoyo en la red objetivo consigue el primero, y en la enorme mayoría de las intrusiones reales ese primer apoyo no llega por un exploit remoto contra un servicio expuesto, sino por convencer a una persona —o a un canal automatizado— de aceptar y ejecutar un artefacto.

Ese artefacto es el payload armado (weaponized payload), y diseñarlo es una negociación entre dos exigencias que tiran en direcciones opuestas. La primera es la entrega: el vehículo tiene que atravesar el canal —el filtro de correo, la política del navegador, la inspección del proxy— y llegar intacto a la víctima. La segunda es la ejecución: una vez en destino, tiene que correr sin que el control del endpoint —el antivirus, el EDR, las reglas de reducción de superficie— lo detenga. Un payload que evade toda inspección pero que el usuario no puede abrir es inútil; uno que se ejecuta sin fricción pero que el filtro de correo bloquea nunca llega. Todo el arte del acceso inicial vive en esa tensión, y este capítulo la recorre por vectores.

Conviene fijar el encuadre desde el inicio, porque es lo que hace útil el capítulo a los dos lados: describir cómo se arma y entrega un payload es describir exactamente lo que el defensor tiene que reconocer y cortar. Cada técnica de entrega deja una firma; cada motor de ejecución deja un rastro de proceso. El capítulo termina en ese mapeo. Y complementa, sin repetirlas, dos piezas que el manual ya trató: la ingeniería social operativa de la Parte 8 —el pretexto, el lado humano de convencer— y la explotación web —el acceso inicial por la vía del navegador contra una aplicación—. Aquí el foco es el tramo técnico entre ambos: el vehículo y su ejecución.

El vector dominante: phishing y la cadena de entrega#

El correo de phishing sigue siendo, año tras año, el vector de acceso inicial más usado, y su anatomía técnica es una cadena de tres pasos que conviene tener presente porque la defensa puede cortar en cualquiera de ellos: entrega → ejecución → llamada de vuelta (callback). El correo entrega un artefacto —un adjunto o un enlace—; la víctima realiza una acción que ejecuta código —abrir, habilitar, hacer clic—; y ese código establece el canal hacia la infraestructura del operador, que es donde arranca el command and control.

flowchart LR
  E["entrega\ncorreo · web · USB"] --> X["ejecución\nmacro · LNK · HTA · LOLBin"]
  X --> C["callback\ncanal hacia el C2"]
  DE["corte: filtro de correo\nSPF/DKIM/DMARC · sandbox"] -.-> E
  DX["corte: endpoint\nMOTW · ASR · padre-hijo anómalo"] -.-> X
  DC["corte: red\negress filtering · detección de C2"] -.-> C

El obstáculo estructural que gobierna todo el diseño de payloads en Windows es la marca de la web (Mark-of-the-Web, MOTW): una etiqueta que el sistema operativo adjunta a todo archivo descargado de Internet o recibido por correo, registrando que proviene de una zona no confiable. Las aplicaciones de Office, los navegadores y el propio Explorador consultan esa marca para decidir cuánta desconfianza aplicar —abrir en vista protegida, bloquear la ejecución de macros, mostrar una advertencia—. Buena parte de la evolución reciente de las técnicas de entrega es, literalmente, una carrera alrededor de la marca de la web: los defensores la hacen valer con más rigor, y los atacantes buscan formatos que no la propaguen a su contenido. Entender la MOTW es entender por qué las técnicas que siguen aparecieron y en qué orden.

Documentos armados y el declive de las macros#

Durante años el documento de Office con macros fue el rey del acceso inicial. Una macro es código —en el lenguaje VBA— embebido en un documento de Word o una planilla de Excel, que puede ejecutarse al abrirlo. El operador enviaba un documento con un pretexto plausible («habilite la edición para ver la factura»), la víctima habilitaba las macros, y el código descargaba y ejecutaba la siguiente etapa. Variantes como la inyección de plantilla remota (remote template injection) mantenían el documento en sí limpio y traían la macro desde un servidor externo solo al abrirlo, para esquivar el análisis estático del adjunto; y el abuso de DDE (Dynamic Data Exchange) lograba ejecución sin macros formales.

Ese reinado terminó por una decisión de arquitectura defensiva: Microsoft empezó a bloquear por defecto la ejecución de macros en documentos que traen la marca de la web. Un documento descargado o recibido por correo ya no ofrece el botón de «habilitar contenido»; la macro simplemente no corre. El cambio no eliminó la técnica —sigue viva en documentos entregados por canales que no ponen la marca, o contra organizaciones que la desactivaron por compatibilidad— pero la volvió poco fiable, y el resultado observable fue una migración masiva de los atacantes hacia formatos que no propagan la marca de la web a su contenido interno. Ese es el hilo que explica la siguiente familia de técnicas.

Contenedores, accesos directos y contrabando#

Cuando el documento con macros dejó de ser confiable, la weaponización se desplazó a formatos que sortean la marca de la web por su estructura. Los contenedores montables —imágenes de disco ISO, IMG o VHD— son el ejemplo canónico: cuando el usuario abre el contenedor, Windows lo monta como una unidad, y los archivos que hay dentro no heredan la marca de la web del contenedor descargado. Un acceso directo o un ejecutable colocado dentro de una ISO se ejecuta sin la fricción que habría tenido suelto. La respuesta defensiva llegó —versiones recientes de Windows propagan la marca a más formatos de contenedor— pero la técnica marcó la pauta.

Sobre esa base aparecen varios vehículos que comparten la lógica de «lo que la víctima hace clic no es lo que cree». El acceso directo (.lnk) puede apuntar a un comando arbitrario disfrazado con el ícono de un documento. La aplicación HTA (HTML Application, .hta) es una página que se ejecuta fuera del navegador, con permisos de aplicación de escritorio, procesada por un binario legítimo del sistema. Y el contrabando por HTML (HTML smuggling) es la técnica más elegante del grupo: en lugar de entregar el archivo malicioso por el canal —donde el proxy podría inspeccionarlo—, se entrega una página web inofensiva que lleva el payload codificado como datos dentro de su propio código; cuando el navegador de la víctima abre la página, un fragmento de JavaScript reconstruye el archivo del lado del cliente y lo ofrece para descarga. El payload nunca viajó como archivo por la red: se ensambló dentro del navegador, del lado de adentro de la inspección. Es el equivalente, en el terreno del acceso inicial, de la lógica de romper la frontera donde nadie mira que atraviesa todo el manual.

LOLBins: ejecutar con binarios que ya son de confianza#

Un payload entregado todavía necesita un motor que lo ejecute, y aquí opera un principio que la evasión de AV/EDR desarrolló en profundidad y que conviene nombrar en su forma de acceso inicial: vivir de lo que ya es confiable (living off the land). En lugar de traer un ejecutable propio —sospechoso por definición—, el operador usa binarios legítimos que el sistema operativo ya trae firmados por Microsoft y que tienen capacidades de descarga y ejecución: mshta ejecuta HTA, rundll32 invoca funciones de bibliotecas, regsvr32 registra componentes ejecutando código en el proceso, msiexec instala paquetes desde una URL. Estos LOLBins (living-off-the-land binaries) heredan la confianza de su firma y su ubicación, y por eso una cadena de entrega bien armada procura terminar en uno de ellos: el documento o el acceso directo no ejecutan un binario extraño, invocan una herramienta del propio Windows que hace el trabajo sucio con reputación prestada.

La consecuencia defensiva es directa y la retomamos abajo: como el binario es legítimo, la firma no está en el ejecutable sino en el contexto —quién lo invocó, con qué argumentos, con qué proceso padre—. Un regsvr32 que descarga un componente de una URL externa, invocado por un proceso hijo de Word, es anómalo aunque regsvr32 sea perfectamente legítimo.

El acceso físico: dispositivos de interfaz humana#

No todo acceso inicial pasa por la red. Cuando el operador puede acercarse físicamente al objetivo —o inducir a que un dispositivo llegue a él—, existe una vía que esquiva por completo el filtro de correo y el proxy: los dispositivos de interfaz humana falsos (BadUSB / HID). Un dispositivo que parece una memoria USB pero que el sistema reconoce como un teclado puede «escribir» a velocidad de máquina una secuencia de comandos en cuanto se conecta, sin explotar ninguna vulnerabilidad —solo abusa de la confianza que el sistema deposita en los teclados—. La memoria USB abandonada en un estacionamiento, el cable de carga manipulado, el dispositivo enviado por correo con un pretexto: todos son vehículos de acceso inicial cuya defensa no es técnica de red sino de política —control de puertos, listas de dispositivos permitidos, y concienciación—. Es el terreno que la Parte 8 mira desde la psicología y que aquí aparece como su contraparte de hardware.

Defensa y detección: los tres planos del acceso inicial#

Como todo capítulo ofensivo del manual, este cierra invirtiendo la mirada. La defensa del acceso inicial no es un control único sino tres planos que se cubren mutuamente, y su lógica es la defensa en profundidad: que ninguna barrera sea la única.

El plano del correo corta en la entrega. La autenticación de remitente —SPF, DKIM, DMARC— reduce la suplantación de dominios; el aislamiento o sandbox de adjuntos detona el archivo en un entorno controlado antes de entregarlo; y el reescrito de enlaces con verificación en el momento del clic ataca el phishing de credenciales y de descarga. Es el mismo terreno que la defensa de identidad y correo de la Parte 5 trata en detalle.

El plano del endpoint corta en la ejecución, y es donde más rindió la arquitectura defensiva reciente. Hacer valer la marca de la web —el cambio que mató a las macros— es el ejemplo más claro de un control por defecto que desactiva una clase entera de ataques. A su lado, las reglas de reducción de superficie de ataque (Attack Surface Reduction) bloquean patrones concretos: que Office cree procesos hijo, que un LOLBin se ejecute desde una ruta de usuario, que un script se lance desde un adjunto. Y la telemetría de proceso es la red de seguridad final: el registro de creación de procesos con línea de comandos captura la firma que ningún artefacto puede esconder —la relación padre-hijo anómala—. Un proceso de Word que engendra powershell, mshta o cmd; un regsvr32 con una URL en sus argumentos; un rundll32 invocado desde un contenedor recién montado: son secuencias que no ocurren en el uso legítimo y que una regla de correlación detecta con alta fidelidad, precisamente porque el LOLBin es legítimo pero su contexto no.

El plano de la persona es el que ninguna tecnología reemplaza. El usuario que reconoce el pretexto, que desconfía del documento que le pide «habilitar contenido», que reporta el correo raro sin miedo a haberse equivocado, corta la cadena antes de que empiece. Ese plano es el objeto de la ingeniería social de la Parte 8 y de la defensa cognitiva que la cierra: no se entrena con una charla anual sino con simulaciones y con una cultura donde reportar es fácil y sin culpa. El acceso inicial es, al final, el punto donde la seguridad técnica y la humana se tocan, y por eso su defensa exige a las dos.

Referencias#

  • red-infra/hacker-playbook3/cap-05 (Peter Kim, The Hacker Playbook 3, «The Screen: ingeniería social»): la entrega de payloads por documentos de Office y archivos de biblioteca, y la articulación entre pretexto y vehículo.
  • red-infra/hacker-playbook3/cap-06 («The Onside Kick: ataques físicos»): los dispositivos de interfaz humana y el acceso inicial por hardware.
  • red-infra/pen200/cap-06 (OffSec PEN-200, «Antivirus Evasion»): el desarrollo de payloads y la tensión entre entrega y ejecución; el detalle de la evasión en destino se desarrolla en la evasión de AV/EDR.
  • El marco de la marca de la web como eje de la evolución de las técnicas, el contrabando por HTML, los contenedores montables y el catálogo de LOLBins son enriquecimiento propio a partir del dominio actual y de ATT&CK (TA0001 Initial Access: T1566 Phishing, T1204 User Execution, T1553.005 Mark-of-the-Web Bypass, T1218 System Binary Proxy Execution, T1027.006 HTML Smuggling, T1200 Hardware Additions). El foothold obtenido se estabiliza en la post-explotación y persistencia en Windows.