VLAN Hopping: La suplantación de mensajes DTP (Dynamic Trunking Protocol (auto trunking)) del host atacante hace que el switch entre en modo trunking. Desde aquí, el atacante puede enviar tráfico etiquetado con la VLAN del objetivo, y el switch luego entrega los paquetes al destino.
En el tema 8 vimos:
Introduciendo un switch engañoso/rogue y habilitando enlaces troncales. El atacante puede acceder todas las VLANs del switch victima desde el switch rogue.
Otro tipo de ataque de salto a VLAN es el ataque doble etiqueta o doble encapsulado. Este ataque toma ventaja de la forma en la que opera el hardware en la mayoría de los switches.
Using Pre-authenticated Device: Los atacantes usan un dispositivo previamente autenticado, para saltarse el NAC. Un atacante puede usar un dispositivo, por ejemplo una RaspPi, para enrutar el tráfico a través del dispositivo comprometido.
Ghostwriting: Técnica que implica el deconstruir el binario del malware, para reconstruirlo de una forma distinta posteriormente, sin que afecte a su funcionalidad. Esto es para dificultar su detección, especialmente mediante la técnica de detección de firmas.
Using Application Whitelisting: Application Whitelisting es una funcionalidad de Windows para defenderse de la ejecución de aplicaciones maliciosas. Es una lista blanca de aplicaciones firmadas, que tiene permitido la ejecución en el sistema. Los atacantes usan técnicas como DLL Hijacking para invocar a las DLLs maliciosas desde aplicaciones autorizadas y saltarse esta defensa.
XLM Weaponization: Los atacantes usan hojas de cálculo Excel, con macros embebidas (
XML - Excel Macro Language), para saltarse las protecciones.
XML es un tipo de macro para Excel que permite automatizar tareas cuando el archivo es accedido.
Dechaining Macros: La técnica de «Dechaining» consiste en repartir la actividad entre distintas técnicas, distintos procesos, distintos periodos de tiempo, distintos usuarios, etc… para dificultar las posibilidades de ser detectado. Hay una gran cantidad de posibilidades cuando se aplica este concepto a las macros, ya que VBScript le permite cambiar archivos, memoria y el registro, proporcionando muchas formas de evitar el análisis estático y dinámico.
Clearing Memory Hooks: El enganche (Hook) es una técnica utilizada para modificar el comportamiento de un sistema operativo o una aplicación interceptando llamadas a funciones o mensajes pasados entre componentes de software. Básicamente es interceptar ciertas llamadas al sistema, para monitorizarlas o modificarlas. Los EDR, implementan Memory Hooks para recolectar información y hacer análisis basados heurísticos en el comportamiento. El atacante inutiliza esta técnica eliminado estos Memory Hooks.
Using Metasploit Templates: Los atacantes usan msfvenom para crear payloads maliciosos y analizarlos con VirusTotal para ver si lo identifica como malware. En base al resultado, modifica el payload para reducir el ratio de detección.
Bypassing Symantec Endpoint Protection: El atacante usa herramientas específicas para evitar la detección de Symantec Endpoint Protection (SEP).
