Recursos compartidos y ejecución remota

La sesión remota interactiva es una forma de saltar, pero no la única. Otra, más discreta, no abre escritorio ninguno: copia un archivo a un recurso compartido de administración de la máquina de destino y lo ejecuta allí de forma remota, normalmente registrando un servicio o una tarea que lo lanza. Deja menos huella de «alguien se conectó» y más de «apareció un archivo y nació algo que lo corre». La hipótesis apunta a esa pareja: la escritura en el recurso y la ejecución casi inmediata.

Lo que lo vuelve cazable es que las dos mitades tienen que pasar y quedan escritas: el archivo que se escribe en el recurso y el mecanismo que lo ejecuta. Por separado cada una es común; juntas, en segundos y hacia una máquina que nadie administraba, son el salto.

Los sistemas exponen recursos de administración para que el equipo de TI despliegue software y gestione máquinas en remoto. Un administrador escribiendo en el recurso de un servidor desde su estación de gestión es tránsito normal. Lo que no lo es: una estación de trabajo cualquiera escribiendo en el recurso de administración de otro puesto. Los puestos no se despliegan software entre sí, así que esa escritura, de origen inusual, es la primera mitad de la huella.

La línea de base manda otra vez: saber quién escribe legítimamente en recursos de administración (unas pocas estaciones de TI, a unos pocos destinos) hace que la escritura de un puesto a otro puesto resalte sin ambigüedad.

Copiar el archivo no lo ejecuta: hace falta un mecanismo que lo lance en la máquina remota. El clásico es registrar un servicio nuevo o una tarea que apunte al archivo recién copiado. Ese servicio nace sin instalador detrás, apuntando a un ejecutable en una ruta que el software normal no usa, y a menudo se crea y arranca en segundos. Es la segunda mitad: el «ejecutar» que convierte el archivo copiado en código corriendo.

Se caza por la forma: un servicio o tarea recién creado que lanza algo desde una ubicación inusual, sin el rastro de una instalación legítima. El nombre, de nuevo, miente; la conducta —nace para ejecutar lo que acaban de dejar— es lo que delata.

Cada mitad por su lado es ambigua: se escriben archivos en recursos y se crean servicios por motivos legítimos todo el tiempo. Lo que confirma el salto es la secuencia ordenada por tiempo: escritura en el recurso de administración de una máquina e, segundos después, un servicio nuevo en esa misma máquina que ejecuta justo lo que se escribió. Alinear las dos huellas por máquina y por tiempo convierte dos eventos comunes en un movimiento lateral.

Es el mismo principio de cruzar fuentes de toda la ruta: la copia sin la ejecución es media caza, la ejecución sin la copia es la otra media, y la historia aparece al ponerlas en la misma línea de tiempo.

Abre el laboratorio de recursos compartidos. En la telemetría de Brío hay escrituras legítimas en recursos de administración (TI desplegando a servidores) y una que no encaja: la estación bri-ws-lgarcia escribe un ejecutable en el recurso de administración de otro puesto y, segundos después, nace allí un servicio que lo lanza desde una ruta temporal. Aísla esa secuencia escritura + servicio y lee la anotación hasta el final.