Vamos a echarle un ojo a la actividad de un RAT (Troyano de Acceso Remoto) Empotrado en un Phising Excel. (el exploit esta en las macros) He escogido este ejendro porque la infeccion es por etapas (staged).

Notas:

• El excel simula una factura pero al abrirla lanza un macro con un exploit con lo que consigue ejecutar un powershell.

• El verdadero codigo no esta en el excel (asi el antivirus lo tiene mas dificil).

• En su lugar la carga util del exploit es un “staged payload” que tras varios pasos descarga e instala el verdadero “kraken” desde una url de internet
  Asi el creador puede ir evolucionando el codigo final incluso despues de lanzar los correos con el phising.

Por suerte este tipo de trollanos tipo staged (por etapas) son facilmente bloqueables por un antivirus-proxy tipo “websense”. O incluso Tambien se podria bloquear a nivel de DNS (opendns) bloqueando dominio en el que esta alojada la etapa final.

Cyber threat hunting:
Vamos a usar el monitor de eventos para generar avisos ante determinadas actividades anomalas.
Este tipo de tecnicas es conocida como thread hunting / deteccion de amenazas.
Generaremos un aviso y lo enviaremos usando un bot de telegram.
Una vez generado ell aviso y enviado a un chat.
Hara que sea mas dificil borrar las huellas de una intrusion.

Nota: (articulo en desarollo 50%)