Atribución y rastreo del atacante

Abre fugas_comunes.txt en la consola del laboratorio. Revisa la primera viñeta.

Cuando un desarrollador u operador compila un proyecto en Visual Studio o MinGW en Windows con opciones por defecto, el compilador incrusta en la sección de depuración la ruta absoluta al archivo de símbolos de depuración (Program Database - PDB).

Esta cadena revela con frecuencia el nombre de usuario local del operador en su estación de trabajo personal, el nombre de su computadora o la estructura de carpetas de su entorno de desarrollo, permitiendo al analista atribuir la prueba en minutos.

Consulta la sección de vectores frecuentes en fugas_comunes.txt.

Imagina que un operador utiliza una VPN o un proxy SOCKS para enrutar sus conexiones ofensivas hacia el objetivo. Sin embargo, su sistema operativo realiza las consultas de resolución de nombres DNS utilizando el servidor DNS de su proveedor de internet local (ISP doméstico o corporativo).

Esta fuga (DNS Leak) deja registrado en los servidores DNS del proveedor o del objetivo que una dirección IP específica estuvo resolviendo dominios internos del cliente, revelando la ubicación geográfica real del operador.

Los analistas defensivos utilizan herramientas como JARM para calcular una huella digital (fingerprint) de la configuración TLS de un servidor web. JARM envía 10 paquetes de sondeo con diferentes combinaciones de suites de cifrado y versiones de TLS, y resume las respuestas en un hash de 62 caracteres.

Si el Red Team utiliza la configuración por defecto de un framework de C2 conocido (como Cobalt Strike o Mythic), el hash JARM de su servidor será idéntico al de miles de servidores maliciosos conocidos, permitiendo a escáneres como Shodan identificarlo y etiquetarlo automáticamente antes de lanzar la campaña.