Después del acceso inicial, el atacante avanza con credenciales robadas y herramientas de administración. Conoce las señales que el SOC puede correlacionar.
Cuando el atacante consigue un primer punto de apoyo en la red, no se detiene a reevaluar la situación. Un informe global de amenazas publicado en 2026, basado en telemetría de 2025, describe una secuencia de ataque ya establecida: comando y control (C2) persistente, uso de credenciales robadas, reconocimiento automatizado y movimiento lateral a través de rutas administrativas confiables. Los controladores de dominio se convierten pronto en objetivos. Es en esta secuencia donde se produce el abuso de credenciales en Active Directory.
Cuando se dan las condiciones adecuadas, la operación avanza hacia el robo de datos o la preparación de un ataque de ransomware. Muchas veces, esto ocurre antes de que el equipo de defensa pase de la detección inicial a una respuesta coordinada.
Credenciales robadas en lugar de fuerza bruta
Dentro del entorno, las operaciones observadas dependen cada vez más del robo de credenciales en lugar de los ataques de fuerza bruta. Con credenciales válidas, el atacante puede desplazarse por el entorno, ejecutar comandos y acceder a servicios sensibles sin dejar de parecer una operación legítima.
Para el movimiento lateral y la ejecución remota de comandos, el informe registró un uso sistemático de herramientas administrativas legítimas: Impacket, WinRM, WMIC y tareas programadas. En la telemetría de endpoints, el 48,96 % de la actividad sospechosa estaba relacionada con el abuso de aplicaciones legítimas. Según el informe, la escala de estas operaciones se consigue mediante herramientas nativas y automatización, en lugar de malware diseñado a medida.
De acuerdo con el informe, el desafío para los defensores tiene menos que ver con la visibilidad y más con el tiempo. Muchas organizaciones no cuentan con la madurez necesaria para correlacionar señales y detectar el uso indebido de relaciones de confianza legítimas a la velocidad con la que se producen los ataques.
Reconocimiento a velocidad de máquina
El reconocimiento interno también está automatizado. La telemetría registró un alto volumen de actividad RPC y un uso sistemático de named pipes, especialmente wkssvc, para enumerar usuarios y dispositivos. En casos representativos, una sola cuenta se vinculó con más de 100 direcciones IP internas y accedió repetidamente a wkssvc.
Una vez finalizada la enumeración, los atacantes identifican rápidamente los controladores de dominio, mapean las relaciones privilegiadas y priorizan los objetivos de alto valor. En las investigaciones analizadas, la detección durante la fase de enumeración fue, en muchos casos, la última oportunidad significativa para ganar tiempo antes de un impacto irreversible.
Dos factores aceleran la expansión. Los protocolos heredados, como SMBv1, crean rutas de movimiento lateral predecibles y de bajo esfuerzo. Por otro lado, el uso indebido de herramientas de monitorización y administración remota (RMM) proporciona acceso persistente y de altos privilegios, que puede confundirse con la actividad habitual de TI cuando no existen una línea base y una correlación entre las señales.
Qué puede monitorizar el SOC
El informe recomienda detectar las amenazas de forma temprana, mucho antes de que aparezca un ejecutable malicioso en el endpoint. Entre las señales identificadas se encuentran:
- Anomalías de autenticación en IAM y AD: nuevos tipos de inicio de sesión, hosts o usuarios inusuales.
- Patrones de NTLM o Kerberos que no existían en la línea base: posibles indicadores de expansión del ataque.
- Reconocimiento automatizado: accesos a
wkssvc y una gran dispersión de conexiones de tráfico este-oeste.
- Señales periódicas de comunicación (beaconing) mediante TCP, SSL o HTTP: tanto en puertos habituales como inusuales.
- Protocolos o destinos poco frecuentes: como conexiones SSH o FTP hacia servicios en la nube o dominios nuevos.
El beaconing se convierte en un indicador de alta confianza de actividad posterior a la explotación cuando aparece junto con desviaciones de autenticación NTLM recién detectadas, ejecución remota de comandos y exploración temprana de los controladores de dominio.
Las correlaciones sugeridas siguen esta lógica:
- C2 y anomalía de autenticación en el mismo host: posible control activo del sistema.
- Beaconing repetido y uso de protocolos de movimiento lateral: SMB, RPC o WinRM.
- C2, abuso de identidad, reconocimiento y movimiento lateral simultáneos: tratar las señales como parte de un mismo incidente.
- Transición entre fases en cuestión de minutos: escalar el incidente.
Ejercicio de threat hunting para el equipo SOC
Hemos organizado las señales y evidencias del informe en una secuencia de búsqueda proactiva de amenazas (threat hunting):
- Establecer una línea base de autenticación: identificar los tipos de inicio de sesión y los patrones de NTLM y Kerberos.
- Buscar desviaciones respecto a esa línea base: tipos de inicio de sesión inéditos, hosts o usuarios inusuales y patrones recién detectados.
- Identificar cuentas que acceden repetidamente a
wkssvc o que se conectan con numerosas direcciones internas.
- Cruzar los resultados con las comunicaciones de retorno de C2 y con el uso de SMB, RPC o WinRM en el mismo host.
- Conservar las evidencias técnicas: metadatos del flujo de red, registros de autenticación con usos nuevos o poco frecuentes de identidades y rastros de SMB, RPC y WinRM.
- Construir una cadena mínima de evidencias: C2, uso sospechoso de identidad y movimiento lateral.
Respuesta y toma de decisiones
Para responder a los incidentes, el plan de acción del informe contempla las siguientes medidas:
- C2 confirmado: contener primero e investigar después.
- Restablecimiento rápido de credenciales y revisión de privilegios: para interrumpir la reutilización de credenciales robadas.
- Segmentación o bloqueo en la puerta de enlace: para cortar las comunicaciones C2 y las rutas de expansión del ataque.
En la fase de exposición, la recomendación es correlacionar los intentos de fuerza bruta con el tipo de identidad y su nivel potencial de privilegios. La prioridad debe centrarse en las identidades de administradores y de servicios, incluidas las cuentas de servicio.
Para quienes aprueban presupuestos, el informe presenta la actividad posterior a la explotación como un riesgo que afecta a la velocidad del negocio: el atacante se desplaza internamente más rápido de lo que los equipos pueden detectar y coordinar una respuesta. Las decisiones recomendadas son invertir en capacidades de correlación y velocidad de respuesta antes de incorporar más herramientas, y sustituir el volumen de alertas como indicador principal por el tiempo necesario para contener un incidente.
Estos patrones se observaron predominantemente en entornos empresariales complejos. Pueden variar en infraestructuras más pequeñas o con menor nivel de madurez.
Fuente: Informe del Panorama Global de Amenazas 2026, FortiGuard Labs / Fortinet.
Mayra Toullier
Especialista en Marketing Digital y Administración con experiencia en la planificación y ejecución de estrategias digitales para empresas de diversos sectores. Experta en gestión de redes sociales, análisis de resultados, gestión de eventos y creación de contenido. Capaz de liderar proyectos que incrementen la interacción y ventas digitales, con una formación constante y orientada a resultados.
