Vectores de Compromiso Primarios Utilizados por UAC-0145 a partir de julio de 2026

Ejecución de Simulación

Prerequisito: La Verificación Previa de Telemetría y Línea Base debe haber pasado.

Justificación: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente las TTP identificadas y apuntar a generar exactamente la telemetría esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

• Narrativa de Ataque y Comandos: El adversario ha entregado exitosamente una carga maliciosa a través de un enlace engañoso (T1189). La carga se ejecuta e intenta establecer un latido con su servidor de Comando y Control (C2) para recibir más instrucciones. Para eludir los filtros de URL simples, el atacante utiliza infraestructura que se hace pasar por servicios legítimos de Microsoft. La carga intentará resolver y conectarse a office366.com. Esta acción está destinada a generar el dst.domain telemetría específica requerida para activar la regla de detección.

• Script de Prueba de Regresión:

  # Script de simulación para activar la detección de conexiones a dominios maliciosos
  $maliciousDomains = @("office366.com", "365softupdate.com")
  
  foreach ($domain in $maliciousDomains) {
      Write-Host "Simulando intento de conexión a: $domain" -ForegroundColor Yellow
      try {
          # Usamos Resolve-DnsName y Test-NetConnection para asegurar 
          # que se genere tanto la telemetría de DNS como de Conexión de Red.
          $dns = Resolve-DnsName -Name $domain -ErrorAction SilentlyContinue
          if ($dns) {
              Test-NetConnection -ComputerName $domain -Port 80 -WarningAction SilentlyContinue
          } else {
              Write-Host "El dominio $domain no se resolvió, pero intentando conexión a través de IP/simulación directa."
              # Alternativa: simulando la lógica del evento de red incluso si el DNS falla
              New-Object System.Net.Sockets.TcpClient("office366.com", 80) | Out-Null
          }
      } catch {
          Write-Host "Conexión al dominio $domain fallida (esperado si el dominio está hundido), pero la telemetría debería haber sido generada." -ForegroundColor Cyan
      }
  }
  

• Comandos de Limpieza:

  # No se realizaron cambios permanentes en el sistema. 
  # Simplemente limpia el historial de la consola de simulación.
  Clear-Host