Para una empresa, que un administrador utilice PowerShell, se conecte por SSH o ejecute una tarea programada forma parte de la operación cotidiana. Son herramientas necesarias para mantener los sistemas funcionando y resolver problemas. Sin embargo, el problema comienza cuando un atacante consigue acceso a la organización y decide utilizar esas mismas capacidades. Esta es la lógica detrás de los ataques conocidos como Living off the Land (LOTL).
Es decir, en lugar de instalar programas maliciosos o introducir nuevas herramientas, el ciberdelincuente aprovecha aquellas que la empresa ya tiene instaladas y que, en principio, son confiables. En ambientes Windows, herramientas como PowerShell, Windows Management Instrumentation (WMI), PsExec, Rundll32 o Task Scheduler cumplen funciones legítimas, pero también pueden ser utilizadas por un atacante para ejecutar comandos, obtener información, moverse hacia otros equipos o intentar mantener el acceso.
El mismo concepto se aplica a Linux, donde pueden aprovecharse Bash, SSH, curl, wget, cron o Python, y a ambientes cloud mediante AWS CLI, Azure CLI o distintas APIs, especialmente cuando se comprometen credenciales o permisos. El objetivo es utilizar herramientas existentes y confiables para realizar actividades maliciosas, intentando que estas se confundan con
Fuente original: Alerta Noticias Temuco
Información local, cercana y útil para nuestra comunidad.
