El ladrón que recorrió todo el laberinto antes de que sonara la alarma
Imaginemos las oficinas centrales de una empresa llenas de puertas. Cada una protege una sala distinta: un servidor, una base de datos, una aplicación crítica o el controlador de dominio. Durante años hemos protegido esas puertas con cerraduras, cámaras y alarmas.
El problema es que un atacante humano tiene limitaciones. Necesita tiempo para reconocer el terreno, probar accesos y cambiar de estrategia cuando encuentra una barrera. Un agente de IA puede hacer todo eso de una forma muy diferente: construir el mapa mientras avanza, probar distintas rutas y modificar su estrategia continuamente.
Eso es precisamente lo que quisimos comprobar en el proyecto Glasswing: qué ocurriría si un modelo avanzado recibiera un objetivo concreto y pudiera actuar de forma autónoma dentro de un entorno empresarial real.
La respuesta fue reveladora. No necesitó recurrir a un malware especialmente sofisticado ni explotar una vulnerabilidad desconocida. Construyó una cadena de ataque paso a paso utilizando identidades legítimas, protocolos habituales y configuraciones que ya estaban presentes en la infraestructura.
La identidad como puerta de entrada
El ataque comenzó en el equipo de un empleado convencional. MYTHOS enumeró usuarios, recursos compartidos, información del dominio y credenciales almacenadas hasta encontrar una credencial de dominio en la caché de Windows. Esa cuenta tenía privilegios administrativos en varios sistemas.
Ahí apareció una primera enseñanza: la identidad podía convertirse en la puerta de entrada. No hizo falta un día cero. Bastó una credencial válida utilizada desde un lugar desde el que normalmente no debería haberse iniciado una tarea de administración.
A partir de ahí, MYTHOS utilizó esa identidad para desplazarse lateralmente entre equipos mediante SMB, un protocolo habitual de Windows, y siguió buscando nuevas credenciales y posibles caminos.
La diferencia está en la velocidad y la capacidad para encadenar decisiones. Lo que para una persona supondría investigar, probar y descartar alternativas, para un sistema autónomo forma parte de un proceso continuo: si una ruta no funciona, prueba otra.
Cuando una mala configuración se convierte en el siguiente paso
Uno de esos caminos condujo hasta Active Directory Certificate Services (ADCS), un componente legítimo de la infraestructura de identidad. En este caso, el problema no era una vulnerabilidad desconocida, sino una configuración que permitía a una identidad con pocos privilegios solicitar certificados en nombre de identidades privilegiadas.
Siguiendo con la analogía del edificio, sería como descubrir que la oficina encargada de fabricar las tarjetas de acceso permite solicitar una con el nombre del director sin conocer su contraseña. El procedimiento parece legítimo para el sistema, pero el resultado puede proporcionar acceso a zonas especialmente sensibles.
Mediante ese mecanismo, MYTHOS consiguió una credencial Kerberos equivalente a la de un Domain Admin y continuó avanzando hacia el controlador de dominio. A esas alturas, ya no necesitaba forzar puertas: estaba utilizando los propios mecanismos de confianza de la organización.
La ruta podía completarse en pocos minutos. En el ejercicio, la necesidad de aprobación humana para determinadas acciones amplió el proceso hasta aproximadamente dos horas. Una vez alcanzado ese nivel de privilegios, se abría la posibilidad de extraer credenciales, establecer mecanismos de persistencia, desactivar controles o preparar otras acciones posteriores.
El tiempo se convierte en una variable de seguridad
Esta experiencia plantea una cuestión que va más allá de MYTHOS. Muchos de los modelos de defensa actuales están diseñados alrededor de la detección, el análisis de alertas y la posterior respuesta. Pero ¿qué ocurre cuando un atacante autónomo puede recorrer buena parte de una cadena de ataque antes de que ese proceso haya terminado?
En nuestro ejercicio, la actividad se desarrolló utilizando PowerShell, SMB, Kerberos, NTLM y otros componentes legítimos. Los controles de detección desplegados no consiguieron reconstruir y detener a tiempo toda la cadena. Cuando los registros llegaban al SOC y comenzaba el análisis, el ataque podía haber avanzado varios pasos más.
Esto no significa que la detección deje de ser necesaria. Significa que probablemente tendremos que complementarla con controles capaces de tomar determinadas decisiones en el mismo momento en que se produce el acceso.
Durante Glasswing aplicamos controles de identidad en tiempo de ejecución para bloquear o reforzar la autenticación ante determinados comportamientos: uso de credenciales desde orígenes anómalos, movimiento lateral, acceso a la autoridad de certificación o conexiones al controlador de dominio desde dispositivos no autorizados.
En la prueba, estos controles impidieron que MYTHOS completara el recorrido. De hecho, fue necesario desactivarlos en un momento determinado para permitir que el ejercicio continuara y poder observar el resto de la cadena.
Pero la conclusión importante no es una tecnología concreta. Es el cambio que supone enfrentarse a sistemas capaces de explorar una infraestructura y tomar decisiones a velocidad de máquina.
Durante años hemos asumido que entre el primer movimiento de un atacante y el compromiso de los sistemas críticos existiría cierto margen para detectar, investigar y responder. La llegada de agentes autónomos obliga a preguntarnos si podemos seguir contando con ese margen.
Una alarma que avisa cuando el ladrón ya ha recorrido todo el edificio sigue siendo útil, pero quizá llegue demasiado tarde. Si el ataque puede decidir cuál será su siguiente movimiento en segundos, parte de la defensa tendrá que ser capaz de decidir con la misma rapidez. La cuestión ya no es únicamente si podremos detectar el ataque. Es si podremos cerrar la siguiente puerta antes de que la inteligencia artificial encuentre la forma de atravesarla.
Javier Gómez Berruezo, Regional Sales Manager Iberia, Silverfort
La entrada El ladrón que recorrió todo el laberinto antes de que sonara la alarma se publicó primero en Ciberseguridadtic.