Lateral Movement (TA0008): Moviéndose por la Red

Lateral Movement es la fase donde el atacante se mueve de sistema en sistema hacia sus objetivos finales

TL;DR: El Lateral Movement es la táctica donde el atacante se desplaza por la red interna buscando objetivos de alto valor tras el compromiso inicial. Esta fase suele durar entre 3 y 7 días en ataques de ransomware, ofreciendo la ventana de oportunidad más amplia para una detección efectiva. Es vital monitorizar conexiones RDP inusuales y el uso de recursos compartidos administrativos para mitigar el riesgo.

La táctica Lateral Movement (TA0008) documenta las técnicas que los adversarios usan para moverse a través de la red, desde el sistema comprometido inicialmente hacia los objetivos de alto valor: Domain Controllers, servidores de archivos, bases de datos, servidores de backup. Es la fase con mayor ventana de detección en un ataque de ransomware (3-7 días típicamente).

Técnicas principales

T1021: Remote Services

T1021.001: Remote Desktop Protocol (RDP)

RDP es el método más intuitivo: el atacante se conecta con credenciales robadas y opera el sistema remoto como si estuviera sentado frente a él.

Indicadores:

• Event 4624 logon type 10 (RemoteInteractive) desde hosts inusuales
• Event 1149 (RDP user authentication) en Terminal Services
• Sysmon Event 3: conexiones al puerto 3389 entre endpoints
• Sesiones RDP entre workstations (lateral, normalmente solo workstation → servidor)

Detección avanzada:

• RDP lateral (workstation → workstation) es casi siempre malicioso en entornos corporativos
• RDP fuera de horario laboral desde cuentas no administrativas
• Múltiples sesiones RDP en paralelo desde la misma cuenta

T1021.002: SMB/Windows Admin Shares

Acceso a shares administrativos (C$, ADMIN$, IPC$) para copiar archivos y ejecutar código remotamente.

PsExec de Sysinternals es el ejemplo clásico: copia un ejecutable a \target\ADMIN$, crea un servicio remoto via SCM, y lo ejecuta.

Flujo PsExec:
1. Conexión SMB a \\target\ADMIN$ (Event 5140)
2. Copia de PSEXESVC.exe (Event 5145)
3. Creación de servicio remoto (Event 7045)
4. Ejecución del servicio (proceso PSEXESVC como parent)
5. Cleanup: elimina servicio y archivo

Detección PsExec:

Señal	Event ID	Detalle
Nuevo servicio	7045	ServiceName: PSEXESVC (o nombre random si modificado)
SMB a ADMIN$	5140/5145	Acceso a share administrativo
Named pipe	Sysmon 17/18	\PSEXESVC pipe
Proceso hijo	Sysmon 1	Parent: PSEXESVC.exe o services.exe

Variantes: Impacket smbexec, Invoke-SMBExec, wmiexec. Cada una tiene artefactos ligeramente diferentes pero todas usan SMB y dejan eventos de autenticación.

T1021.003: DCOM (Distributed COM)

Ejecución remota via objetos COM distribuidos. Menos monitorizado que PsExec/WMI.

Objetos COM abusables:
  ShellWindows (9BA05972-F6A8-11CF-A442-00A0C90A8F39)
  ShellBrowserWindow
  MMC20.Application (49B2791A-B1AE-4C90-9B8E-E860BA07F889)

Detección: Sysmon Event 1 con proceso padre svchost.exe -k DcomLaunch, tráfico DCOM (puerto 135 + puertos dinámicos).

T1021.004: SSH

En entornos Linux/híbridos: el atacante usa claves SSH robadas o contraseñas para moverse entre servidores.

Detección: auth.log: autenticaciones SSH desde hosts no habituales, uso de cuentas de servicio interactivamente.

T1021.006: Windows Remote Management (WinRM)

PowerShell Remoting via WinRM (puerto 5985/5986).

Invoke-Command -ComputerName TARGET -ScriptBlock { whoami }
Enter-PSSession -ComputerName TARGET

Detección:

• Event 4624 logon type 3 con proceso wsmprovhost.exe
• Event 91 (WinRM): sesión creada
• Tráfico a puertos 5985/5986

T1550: Use Alternate Authentication Material

T1550.002: Pass-the-Hash (PtH)

Autenticar con el hash NTLM directamente, sin conocer la contraseña. Funciona porque NTLM no requiere la contraseña en claro para autenticar.

Mimikatz:
  sekurlsa::pth /user:admin /domain:corp /ntlm:aad3b435... /run:cmd.exe

Impacket:
  psexec.py corp/admin@TARGET -hashes :aad3b435...

Detección:

• Event 4624 con logon type 3, NtlmSsp package, desde host inusual
• Anomalía: cuenta que normalmente usa Kerberos ahora usa NTLM
• Credential Guard previene el robo del hash para PtH

T1550.003: Pass-the-Ticket (PtT)

Usar tickets Kerberos robados (TGT o TGS) para autenticar sin credenciales.

Detección:

• Event 4768/4769: tickets solicitados desde host diferente al que los obtuvo
• Anomalía en PAC (Privileged Attribute Certificate)
• Golden/Silver ticket detection: ticket lifetime anómalo

T1570: Lateral Tool Transfer

Copiar herramientas de ataque (Mimikatz, Cobalt Strike, ransomware) a sistemas remotos antes de ejecutarlas.

Métodos:

• SMB: copy payload.exe \\target\C$\Windows\Temp\
• PowerShell: Copy-Item via PSSessions
• certutil/bitsadmin: descarga desde C2 en cada host
• Cobalt Strike: upload integrado

Detección:

• Sysmon Event 11: archivos creados en C:\Windows\Temp\ desde red
• Event 5145: acceso a shares administrativos con escritura
• EDR: nuevo binario sin firma en ubicación temporal

T1091: Replication Through Removable Media

Propagación via USB en entornos air-gapped. Relevante en ataques a infraestructura OT/ICS (Stuxnet).

Patrones de detección de movimiento lateral

Patrón 1: Spray de autenticación

ALERTA si:
  Una cuenta genera Event 4624 (logon exitoso) en > 5 hosts distintos
  en < 2 horas
  Y la cuenta no es una service account o admin conocido
→ Probabilidad ALTA de lateral movement

Patrón 2: Island hopping

ALERTA si:
  Host A se autentica en Host B
  Host B se autentica en Host C
  Host C se autentica en Host D
  Todo en < 4 horas
→ Cadena de movimiento lateral (island hopping)

Patrón 3: Horario anómalo

ALERTA si:
  Autenticación RDP/SMB entre 02:00-06:00
  Desde cuenta de usuario (no servicio)
  A servidor no habitual para esa cuenta
→ Posible lateral movement fuera de horario

Patrón 4: Primera vez

ALERTA si:
  Cuenta X accede por primera vez a Host Y
  Y Host Y es un servidor crítico (DC, file server, backup)
  Y Cuenta X no es del equipo de administración
→ First-time access a sistema crítico

Herramientas de detección

Herramienta	Capacidad
Sysmon	Events 1, 3, 17/18 (procesos, conexiones, named pipes)
Windows Security Log	Events 4624, 4625, 4648, 7045 (autenticación, servicios)
NDR (Network Detection)	Tráfico SMB, RDP, WMI anómalo
UEBA	Baseline de comportamiento + anomalía
BloodHound	Mapear rutas de movimiento antes del atacante
Velociraptor	Hunting de artefactos de lateral movement a escala

Prevención

Control	Efecto
Credential Guard	Impide PtH y LSASS dump
LAPS	Passwords locales únicos por host (impide reutilización)
Tiering de admin	Separar cuentas T0 (DC), T1 (servers), T2 (workstations)
Network segmentation	Limitar SMB/RDP entre segmentos
MFA everywhere	Especialmente en RDP y VPN
Disable NTLM	Forzar Kerberos donde sea posible
Firewall host-based	Bloquear SMB (445) entre workstations

Conclusión

Lateral Movement es la fase más ruidosa y detectable de un ataque. PsExec, RDP y WMI generan eventos de autenticación, creación de servicios y tráfico de red que son visibles con monitorización adecuada. La clave es tener baseline de comportamiento y alertar sobre anomalías: cuentas que acceden a hosts nuevos, autenticación fuera de horario, y spray de autenticación. Las siguientes tácticas, Collection y C2, son lo que el atacante hace una vez posicionado.

Fuentes y referencias

• MITRE ATT&CK: Lateral Movement (TA0008)
• Microsoft: "Detecting Lateral Movement" (ATA/ATP documentation)
• CrowdStrike: "Lateral Movement in the Real World" (2024)
• SANS: "Spotting the Adversary with Windows Event Log Monitoring" (2023)
• SpecterOps: "An ACE Up The Sleeve" (Active Directory attacks)