El enemigo con credenciales: cómo los atacantes gobiernan tu red con las mismas herramientas que tu mesa de ayuda

La primera alerta llegó a las 13:12, cuando el equipo estaba en pausa y el edificio olía a café recalentado. En el tablero de auditoría se veía una sesión de “soporte” idéntica a las de siempre, con el mismo identificador, el mismo flujo de ventanas y el mismo ritmo en el puntero. El técnico asignado, sin embargo, estaba en el comedor. Nadie interrumpió el almuerzo por algo que parecía habitual. En la máquina intervenida se copiaron binarios a ProgramData, se creó un servicio con un nombre que imitaba a un controlador inocuo y se programó una tarea en el contexto del usuario que garantizaba el regreso del agente si alguien lo desinstalaba. No hubo macros, ni adjuntos exóticos, ni un dropper con capas de ofuscación; hubo rutina. Y la rutina, cuando se acepta como dogma, es el mejor camuflaje que un atacante puede comprar.

La escena ganó densidad a las 14:03, cuando apareció un paquete RDP con redirección de portapapeles y una transferencia de archivos que, vista desde lejos, parecía una actualización cualquiera. El inicio de sesión venía con credenciales válidas, el host destino pertenecía a un segmento sin fricción y el flujo de tráfico se confundía con el ruido de fondo en 443. Cualquier playbook clásico habría buscado indicadores brillantes: compresiones sospechosas, cadenas de PowerShell con -enc, firmas de beacons conocidos. Aquí no había nada de eso. Había un instalador MSI firmado, una interfaz amable, un par de clics que sonaban a soporte real y una mesa de ayuda entrenada para resolver, no para desconfiar.

La telemetría, sin embargo, contaba otra historia para quien quisiera escucharla. En el visor de eventos, la creación del servicio quedó reflejada como un 7045; la tarea programada dejó huella en Microsoft-Windows-TaskScheduler y pudo rastrearse por su 4698 si la auditoría estaba encendida; las conexiones interactivas con escritorio remoto mostraron los habituales inicios de sesión con tipo correspondiente y una secuencia corta de 4672 que revelaba privilegios elevados. En Sysmon, los procesos nacieron como eventos 1, establecieron conexiones salientes documentadas como 3, fijaron persistencia con ajustes de registro que dispararon 13 y en algunos hosts aparecieron rastros de WMI permanente, con la triada 19, 20 y 21 que delata Filter, Consumer y Binding. No había pirotecnia, solo pequeñas memorias de un hábito extraño: servicios que normalmente no nacen los lunes, binarios firmados que no pertenecen a esa unidad organizativa, sesiones de administración que no obedecen a la ventana de cambios. Nada sonaba a película; todo sonaba a operación.

Lo inquietante del caso es que no requirió esfuerzo técnico extraordinario. Bastó con instalar una aplicación legítima de acceso remoto y operar con naturalidad. Bastó con inducir a un usuario a compartir un código de asistencia y aceptar la cesión de control que Quick Assist y equivalentes volvieron cotidiana. Bastó con usar un archivo .rdp que establecía una sesión saliente hacia infraestructura externa y, a partir de ahí, moverse como se mueve cualquier técnico competente. El atacante no intentó parecer un villano: intentó parecer tu propio soporte. Ganó porque conocía mejor que tú los atajos culturales de tu organización.

Ese es el corazón de la tesis: el adversario ya no necesita empujar un zero-day si puede instalar lo mismo que el soporte. Tu superficie de ataque es, cada vez más, tu superficie de trabajo. Y cuando la normalidad se convierte en dogma, la pregunta de seguridad cambia de idioma. Ya no es “¿qué binario está prohibido?”, sino “¿qué propósito está autorizado para esta identidad, en este equipo, desde esta ubicación, en esta ventana y con qué rastro?”. A partir de ahí, se entiende por qué las intrusiones más eficaces de los últimos tiempos no son las más ruidosas, sino las más razonables.

Operaciones comunes, persistencia extraordinaria

Las aplicaciones de control remoto comerciales —AnyDesk, TeamViewer, Supremo, Chrome Remote Desktop, RustDesk, Zoho Assist, Splashtop, Radmin, variantes de VNC y plataformas RMM como ScreenConnect— nacieron para resolver distancia y urgencia. Están firmadas, se instalan en minutos, funcionan sobre TLS y ofrecen justo lo que un atacante necesita: escritorio interactivo, transferencia de archivos, arranque automático, credenciales persistentes y, en muchos casos, parámetros que permiten sesiones no supervisadas. La instalación en Program Files o ProgramData les presta respetabilidad. El registro como servicio con un nombre anodino borra sospechas. La tarea programada que reconstituye el agente en cada inicio de sesión resuelve la fragilidad de una desinstalación aislada. La actualización automática cambia hashes con la frecuencia suficiente para dejar obsoletas las reglas rígidas. Y el tráfico, si no se dibuja con contexto, es indistinguible del resto.

En ese ecosistema, RDP ocupa un lugar propio. Su versión más burda es el puerto expuesto a Internet con contraseñas repetidas; su versión moderna es más elegante. Un archivo .rdp distribuido por correo abre una sesión saliente desde la máquina de la víctima hacia un concentrador externo y regresa con un escritorio que obedece. Con NLA y CredSSP bien configurados, el protocolo reduce la exposición de credenciales, pero no corrige el hecho esencial de que la conexión fue concedida a la persona equivocada con identidad correcta. El modo Restricted Admin minimiza la entrega de secretos reutilizables al host destino, aunque no desactiva la confianza implícita que habilita saltos encadenados si la arquitectura permite rutas de administración planas. Quien diseña para comodidad hereda también el costo de esa comodidad.

El repertorio ofensivo en esta clase de intrusiones no suena espectacular porque no pretende serlo. Se usa el Service Control Manager para crear un servicio y anclar un binario firmado con parámetros silenciosos. Se ejecuta schtasks para programar la reaparición del agente. Se insertan claves en Run y RunOnce cuando el entorno lo permite. Se abusa de WMI permanente para que un evento de sistema lance procesos sin pedir permiso. Se aprovechan utilidades living-off-the-land como mshta, rundll32 o regsvr32 si hace falta revestir de legitimidad un arranque indirecto. Y cuando el oponente quiere un tercer plano de persistencia, deja un perfil de navegador con una extensión que reconstituye sesiones de control o un lanzador que, a cada arranque, consulta un repositorio “de soporte” y baja la versión vigente del agente.

La lateralidad es una consecuencia natural, no un acto heroico. Con un escritorio interactivo y transferencia de archivos integrada, mover PsExec, SharpHound, herramientas para consultas LDAP, recolectores de credenciales o empaquetados de cifrado es un trámite. Si el dominio está mal segmentado, un salto a un servidor de archivos se paga con monedas. Si hay concentradores de administración sin gateway y sin grabación de sesión, el paso a un controlador de dominio depende más de paciencia que de técnica. Cuando el ecosistema normaliza que cualquiera pueda instalar cualquier cosa “para resolver”, el atacante no necesita burlar defensas; solo necesita heredar costumbres.

Redes paralelas: VPN invisibles, túneles efímeros y mensajería como C2

El terreno más insidioso no está en el binario, sino en la conectividad. SoftEther lleva años demostrando que un túnel bien diseñado puede parecer navegación web. Encapsula sobre HTTPS, atraviesa proxies con docilidad y puede operar como cliente o puente, transformando un activo comprometido en pasarela hacia afuera o hacia adentro según convenga. El resultado práctico es una persistencia de conectividad que sobrevive a la primera ronda de contención: puedes cortar sesiones RDP, rotar credenciales y eliminar agentes; si el túnel sigue respirando, la puerta trasera no es un proceso, es una carretera.

La nueva ola de redes privadas definidas por identidad lo elevó a infraestructura. Tailscale y ZeroTier convierten estaciones de trabajo y servidores en ciudadanos de una red paralela gobernada desde fuera. No requieren reglas de NAT, ni puertos raros, ni negociaciones con equipos de red; basta con instalar el agente y salir a Internet. Si hay bloqueo estricto, el sistema cae a relés sobre 443 que se mezclan con el resto del tráfico cifrado. La máquina comprometida pasa a formar parte de una tailnet o de un tejido superpuesto que no consulta al CMDB ni respeta los límites del firewall interno. Cuando existe esa autopista invisible, la lateralidad deja de ser un juego de permisos y pasa a ser un juego de topologías.

El ecosistema de túneles efímeros perfeccionó la logística. ngrok expone servicios locales con URLs de un solo uso, ofrece paneles listos, rota endpoints sin esfuerzo y opera sobre infraestructuras con alta confianza social. cloudflared y equivalentes hacen otra variación de la misma melodía: publican hacia redes de distribución que, en la mente colectiva, “no se bloquean”. Para un atacante, esto se traduce en puntos de pivote temporales, exfiltración con apariencia de tráfico corporativo y un teardown que borra huellas al terminar la jornada. En el disco quedan migas: procesos con nombres familiares, servicios aparentemente legítimos, archivos de configuración que parecen triviales. En el aire queda lo importante: sesiones que vivieron lo suficiente como para cambiar el desenlace.

En paralelo, la mensajería se consolidó como plano de comando y control con calidad industrial. Telegram ofrece API madura, baja latencia, clientes para cada plataforma y un flujo natural que mimetiza productividad. Un bot básico puede enviar credenciales recolectadas, notificar inicios de sesión, entregar capturas, aceptar órdenes y coordinar tareas discretas sin levantar sospechas, todo sobre 443 y detrás de proxies permisivos. La operación no requiere paneles clandestinos ni dashboards caseros: se delega el bus a un servicio masivo. La huella se confunde con la de conversaciones reales. El hunting serio, en ese contexto, no busca palabras mágicas: busca patrones de hábito que no encajan con la forma en que esa máquina suele hablar.

Cuando estas piezas se combinan, el adversario diseña cadenas limpias. Un host comprometido instala un acceso remoto y lo ancla con un servicio y una tarea. Un segundo paso monta un túnel overlay que aísla la operación de la visibilidad de red. Un tercero deja un bot que avisa cuando el usuario inicia sesión o cuando aparecen rutas interesantes. La ofensiva se vuelve una operación de procesos normales. Y la defensa, si no cambia de idioma, queda reducida a mirar dónde no pasa nada: los artefactos exóticos, los binarios con nombres chistosos, los puertos que hace tiempo no se usan.

Defender por propósito: identidad, egress y endpoint como una sola historia

Prohibirlo todo mata el negocio; permitirlo todo lo regala. La alternativa madura es gobernar por propósito y convertir esa palabra en arquitectura. La identidad deja de ser un pase y se vuelve un ticket con misión, atado a un carril y a una ventana. Las herramientas de soporte dejan de ser “permitidas por marca” y pasan a ser permitidas por función: en qué equipos, bajo qué cuentas, desde qué jump y con qué registro irrenunciable. La pregunta operativa ya no es “¿se puede ejecutar este binario?”, sino “¿se puede ejecutar para este fin, aquí, ahora y dejando qué rastro?”. Cuando esa pregunta existe, el atacante se tropieza con lo único que no puede falsificar: tu propia disciplina.

La identidad sostiene el sistema. Las sesiones de administración nacen con cuentas de servicio no personales, alcance mínimo y MFA resistente a suplantación. La elevación de privilegios ocurre por PAM, con entrega temporal y caducidad estricta; la intervención humana deja grabación de sesión obligatoria y una pista que no vive en el olvido. Si alguien “necesita” instalar un RMM fuera de catálogo, la excepción abre un expediente con justificación, alcance y vigilancia. La comodidad existe, pero bajo contrato.

El egress separa el navegador del túnel sin invadir privacidad. Aun sin romper TLS, se puede diferenciar por propósito con señales sobrias: fingerprinting del cliente, negociación de protocolos, rareza temporal, destino y reputación. Lo que interesa no es “a quién bloqueas”, sino a quién dejas de mirar como si fuera invisible. Un overlay que finge ser un navegador debe ver comprometida su capacidad de pasar inadvertido: si respira a horario improbable, si conversa con infraestructuras que nadie necesita, si se comporta con patrones que no pertenecen a esa OU, entonces sale del anonimato. Ya no es “tráfico cifrado como todos”; es tráfico cifrado con motivo incorrecto.

El endpoint cuenta la biografía de cada intrusión. Donde hay servicios nuevos con nombres plausibles, hubo una intención. Donde hay tareas programadas en AppData que reponen binarios, hubo una apuesta por la resiliencia. Donde nacen drivers TAP/TUN o adaptadores virtuales, hubo una decisión de abrir rutas. Donde aterriza Chrome Remote Desktop o aparece Quick Assist fuera de ventana, hubo una cesión de control que merece explicación. Donde cambian hashes por “actualizaciones” frecuentes, hay una estrategia de evasión contra reglas estáticas. Esta biografía no se lee con listas ni con firmas; se lee con historias: quién, desde dónde, para qué, durante cuánto, con qué identidad y sobre qué activos.

El tiempo es una dimensión que separa el guion legítimo del impostor. Las operaciones normales tienen horas, ciclos, ventanas y estaciones. Una administración nocturna en una caja que nunca se toca de noche es una novela corta entera condensada en un solo evento. Un bot que empieza a hablar en una máquina que jamás envió notificaciones es una confesión con latido propio. Un RDP que se abre en mitad del almuerzo cuando el equipo de soporte está ausente es una señal que no requiere un PhD en reverse engineering, solo requiere la voluntad de tratar a la normalidad como un objeto de gobierno, no como una fe.

En esa lógica, el movimiento lateral deja de ser un truco. Un RDP no es un permiso genérico, es un carril. Un RMM no es una marca confiable por sí misma, es una herramienta con perímetro. Una tailnet no es comodidad por defecto, es un artefacto de misión que solo tiene sentido en equipos y roles específicos. La seguridad deja de escribir listas de lo que prohíbe y empieza a redactar contratos de lo que autoriza, con nombre y apellido. Donde hay contrato, hay luz. Donde hay luz, la normalidad vuelve a ser un lugar habitable y deja de ser el escondite favorito.

Epílogo

El caso del almuerzo se cerró con un informe que, por una vez, no celebró detecciones milagrosas ni reverse heroicos. Celebró un cambio de foco. A partir de esa semana, la organización dejó de preguntar “¿qué ejecutable bloqueamos ahora?” y empezó a preguntar “¿qué propósito permitimos aquí dentro y cómo lo volvemos visible?”. Las cuentas de servicio se despersonalizaron, los saltos de administración se guiaron por una pasarela con registro, las ventanas de intervención se definieron por oficio, el egress dejó de ser un océano monótono y el endpoint aprendió a contar su biografía con fechas, escenas y protagonistas. El efecto fue inmediato: las herramientas siguieron existiendo, pero perdieron anonimato.

El atacante insistió, como insisten siempre los oficios. Intentó reinstalar un acceso remoto con un nombre nuevo y una tarea menos evidente. Lo logró por unas horas. No encontró, sin embargo, el silencio que lo había protegido antes. La sesión nació fuera de calendario, la identidad no pertenecía a la OU correcta, el adaptador virtual apareció donde no tenía sentido y el bot que enviaba notificaciones de procesos habló en un host que jamás había tenido voz. El SOC no buscó firmas; buscó incongruencias. Y donde hay incongruencias, hay fricción. La ofensiva sobrevivió, pero dejó de ser cómoda. Y cuando la intrusión deja de ser cómoda, suele dejar de ser rentable.

La frase que quedó en el pizarrón no es solo un eslogan, es una directiva de gobierno: ya no necesitas un exploit si puedes instalar lo mismo que el soporte técnico. La única respuesta adulta a ese principio es otra igual de simple: si no define propósito, no entra; si no deja huella, no sirve; si se parece al resto, que se parezca, pero con nombre y apellido. Todo lo demás será una discusión de marcas, puertos y firmas en un mundo donde el adversario ya aprendió a vivir de lo permitido.