AImaru C2 La Nueva Era del Living off the Land (MCP AI-Driven C2)

La inteligencia artificial. Desde desde hace mucho tiempo siempre han salido tecnologías emergentes, virtualización, cloud, todo el tema de llevar aplicaciones a smartphone, big data contenedores IoT 5G pero la que creo personalmente que más le ha facilitado la vida a los ciberdelincuentes es la inteligencia artificial, ¿no? Antes se necesitaban skills técnicos específicos donde se necesitaba conocer mucho de redes, sistemas operativos, programación, configuraciones y hoy tenemos agentes, tenemos inteligencia artificial que nos facilita toda esa parte y desarrollo, ¿no? [resoplido] Entonces ya no estamos ya no nos enfrentamos a las emanzas tradicionales. Se está llevando un avance tecnológico muy rápido. Cada cada semana está saliendo nuevas noticias, nuevas cosas, nuevas capacidades y por eso es tan importante esos espacios, reunir la

comunidad, reunir a las personas que conocen de ciertos temas y nos pueden estar ayudando en ciertos momentos. Entonces, la invitación y y el y lo que promete la promesa de valor de Visis esas dos cosas. disminuir la deuda técnica y fortalecer las relaciones profesionales entre las personas que trabajamos en ciberseguridad, lo que sea, análisis de malware, respuesta de incidentes, bluen redam criptografía ingeniería inversa, todo, todo, todo se reúne en esta comunidad. Hoy los invito a aprovechar cada charla, a tomar nota, a los datos de los ponentes, a preguntarle al del lado, hacer las preguntas. Gracias por estar aquí, gracias por madrugar, gracias por apoyar el este espacio tan importante en Colombia. Lo hemos llevado, venimos de Bogotá, Medellín,

Bogotá y esta vez en Pereira. Muy agradecido, muy estamos muy agradecidos desde la parte del comité de Vish con esta ciudad que nos abrió las puertas eh desde el miércoles en los entrenamientos. Gracias a los sub patrocinadores y especialmente a la alcaldía de Pereira en cabeza de la secretaría TIC. Por eso le doy paso a Andrés Vázquez, secretario TIC, que nos va a dar unas palabras de bienvenida. Muchas gracias. [aplausos] Bueno, muy buenos días para todos. Mi nombre es Andrés Vázquez. Yo soy secretario de las TIC de la Alcaldía de Pereira y verdad que es un gusto y un honor poder recibirlos hoy en este evento. Eh, la Alcaldía de Pereira y pues con esta organización, con Bis, que

es una gran organización que ha trabajado durante muchos años el tema de ciberseguridad, hoy le abre las puertas a este evento en Pereira. Eh, de verdad que les agradecemos a los organizadores, a Isabis, a todas las personas que se vinculan, porque queremos establecer Pereira como una sede de la tecnología, como una sede de la innovación en Colombia y esta serie de eventos nos van a abrir el paso para esto. Eh, le agradezco a todas las personas que nos acompañan hoy. Quisiera pedirles un favor, quiénes nos acompañan de otras ciudades de Colombia que puedan levantar la mano, por favor. Ah, súper. Bienvenidos. ¿Quiénes [carraspeo] nos acompañan del exterior de otro país? S bienvenidos. ¿De qué países, perdón,

nos acompañan? S. ¿De dónde más? S. Por aquí otras personas. Ah, bueno, super bienvenidos, bienvenidos a Pereira y bienvenidos a Colombia. Las personas que que nos acompañan de otras ciudades también, super bienvenidos a Colombia. Y por último, las personas de Pereira, eh más que bienvenidos, pues, porque están en su casa. Hoy nosotros somos los anfitriones. Eh, queremos queremos invitarlos para que también conozcan la ciudad. Eh, en estos tiempos, en estos tiempos donde estamos en la cuarta revolución industrial, donde las nuevas tecnologías, las tecnologías emergentes nos acompañan en todos estos procesos, eh de verdad que pensar en el cuidado de los datos y el cuidado de la información es muy importante. La ciberseguridad nos va a abrir las puertas y nos va a ayudar

a protegernos en estos tiempos que somos más vulnerables y que la misma tecnología nos permite evolucionar, pero la misma tecnología nos hace vulnerables. Entonces, de verdad que necesitamos aprender y entender cómo funcionan todos estos procesos para los para los chicos, para los más jóvenes, para los que están formando. Eh, esto es una oportunidad muy importante porque el la oferta laboral, la oferta económica, la oferta comercial se está enfocando hoy en día en la tecnología. Los que sabemos manejar los datos, los que sabemos protegerlos, los que sabemos cuidarlos, tenemos más oportunidades laborales. Entonces, si mejoramos estas competencias, también estamos generando todo un proceso para que a futuro eh tengamos oportunidades de ingresos, oportunidades de negocios, oportunidades

de trabajo. Entonces, super bienvenidos. Quiero quiero invitar también a las personas que que son de Colombia y que están en otras eh y que vienen de otras regiones para que conozcan Pereira. Eh, en el mes de agosto vamos a realizar las fiestas de la cosecha. Entonces, queremos invitarlos para que para que también participen de esta actividad. Van a haber eventos eh maravillosos. Conéctense, por favor, con la alcaldía de Pereira, con las redes de la alcaldía de Pereira para que conozcan lo que vamos a realizar. Y durante todo el año Pereira de verdad es una ciudad de puertas abiertas. En Pereira tenemos un lema y es en Pereira no hay forasteros, todos somos pereiranos. Entonces, a

partir del momento en que ustedes cruzan esta región y y pisan Pereira, tranquilos que se volvieron pereiranos y y los recibimos como pereiranos. Bienvenidos, bienvenidos. Aprendan, participen del proceso y tengan en cuenta que todo este tipo de iniciativas le abren a uno la mente a lo que debe saber. Aquí se van ustedes hoy con con muy buenos conocimientos, pero la idea es que cada uno siga fortaleciéndolos y para los chicos que nos acompañan, los que están formando de verdad, continúen este proceso porque aquí van a generar nuevas oportunidades. Entonces, bienvenidos a Pereiras, bienvenidos a Visites, a todo el equipo de Visites, a todos los expositores, hay expositores internacionales con mucho nivel, con altísimo conocimiento. Entonces, bueno,

le damos la apertura a este evento. Super bienvenidos y gracias a todos. [aplausos]

A todos, buenos, buenos días. Bueno, de parte de la organización para hacerlo rápido y ya empezar con las charlas, para nosotros es muy importante, miren que hemos hablado mucho del tema de el tema de comunidad y cómo unirnos. Para nosotros lo más importante y la razón de seguir haciendo esto y de que estemos acá en presencial, en vivo, compartiendo es eso, poder generar relaciones, [carraspeo] poder generar comunidad, poder conocernos, poder empezar a establecer esas nuevas conversaciones, que es lo que siempre hemos buscado con Visites Colombia y a eso es a lo que los invitamos. Eh, tenemos una muy una amplia oferta de contenido para este Bites Colombia 2026. Estamos acá con charlas de muy alto nivel.

Adicionalmente vamos a tener las villas en la parte de abajo donde van a tener diferentes tipos de actividades interactivas para realizar. Adicionalmente vamos a tener los workshops que van a estar ubicados en el punto VI en el cuarto piso. Eh, está habilitado el CTF. Mañana vamos a tener un espacio de networking en la noche para todos podernos conocer. Entonces, la invitación y lo que más quisiera que que podamos tener en cuenta es eso. conectémonos, hagamos una unión mucho más fuerte, seamos personas, hagamos eso diferente que no hace la tecnología y desde ahí permitamos que Bites Colombia siga teniendo el sentido que siempre hemos buscado para este evento y es conectarnos, crear comunidad y poder tener la posibilidad de todos, desde

nuestro punto de vista compartir cómo vemos la seguridad. Muchas gracias y espero que disfruten muchísimo el evento. [aplausos]

Hola hola hola hola hola hola.

Listo. [resoplido]

Hijo.

Hola. Bueno, mientras conectan vamos con la primera charla. Tengo el honor de presentarles a Mario Lobo. Mario Lobo es un speaker eh que ha dado charlas en varias partes del mundo. El año pasado tuvo una charla en Vis 2025 en la ciudad de Medellín. ¿Alguien tuvo la oportunidad de ver la charla de él el año pasado en el canal de YouTube o en vivo? ¿De qué es la charla, Rodrigo? ¿De qué fue la charla de Mario Lobo del año pasado? [risas] Una charla sobre cómo va a ir Ansi mostró paso a paso las técnicas, las tácticas usadas. Fue supremamente interesante. Los invito si no han visto el video y les interesa temas de evasión, cómo lo explica Mario Lobo a un

nivel de detalle impresionante. Hoy en esta ocasión nos va a hablar sobre eh esa evolución que ha tenido las técnicas de Living of the Land, algo que antes se requería conocimiento técnico para hacer ese uso de esas herramientas y no ser detectado. hoy la inteligencia artificial, cómo nos ayuda o bueno, cómo ayuda tanto a los buenos como a los malos en esa parte y esa técnica específica. Entonces, les pido un fuerte aplauso para Mario Lobo, por favor. [aplausos] Vale, muchas gracias, Lucho. Muchísimas gracias a todos los presentes por madrugar a escucharnos, al equipo de organización de de Visites que año tras año hacen posible esto. A Gio, a Lucho, a Gus, a Sandra y a todos los que están

detrás de de esta actividad de comunidad, a la alcaldía de Pereira, la ciudad de Pereira por recibirnos. Eh, me presento, para quien no me conoce, Mario Lobo Romero. Llevo unos casi 20 años en el ámbito de ciberseguridad en diferentes roles, casi 10 años en inteligencia, ciberinteligencia estratégica, en colaboración con varios países, con Brasil, Estados Unidos, Israel. Eh, también tuve la oportunidad de dirigir equipos de ciberseguridad en la parte financiera de algunas entidades multinacionales y en estos últimos años me he estado desempeñando como líder investigador de la parte de Cyberthread Intelligence en Lumo Technologies. Hoy les vengo a presentar algo que tiene que ver muchísimo con la primera introducción que nos dio Lucho y es eh

Aimaru C2, la nueva era del Old. [música] Es un proyecto eh un framework ofensivo que surgió eh con varios conceptos, algunos nuevos, otros no tantos que vamos a ir viendo en el transcurso de la charla y que va a bajar ese nivel técnico de los atacantes. Ya van a ver ustedes como de una manera bien trascendental. Eh, voy a partir la la charla en tres partes. Una primera parte donde vamos a ver una contextualización de por qué llegó esta idea de hacer Aimaru. Una segunda parte donde veremos las características del framework y un demo para que ustedes puedan ver lo fácil que es ahora hacer este tipo de ataques. Y una tercera parte en donde vamos a ver

posibles métodos de mitigación, estrategias, etcétera, para los equipos de ciberseguridad. Entonces [música] vamos a empezar. Bueno, capítulo uno, bienvenidos al mundo real. ¿Por qué esta introducción? Porque es importante que tengamos el contexto completo de lo que realmente está pasando hoy en día en el escenario de ciberseguridad. Todos nos hemos eh casado con una versión muy sexy de lo que es la ciberseguridad, pero resulta que los atacantes están usando cosas bien básicas. No tan sexis como un zero day, no tan sexis como eh un ataque superelaborado. Vamos a ver qué es lo que está pasando en la vida real para ver desde la parte ofensiva cómo no cómo cuáles son las últimas técnicas que se están aplicando

desde la parte defensiva, eh, cómo nos preparamos para esas técnicas. [música] ¿Vale? Bueno, estamos viviendo la era del postmware. Resulta que llevamos unos 30 40 años en un mundo que fue diseñado, en una eh comunidad que fue diseñada desde el concepto de Malwar, un código que nace, se diseña, se prepara, se escribe para eh aprovechar alguna vulnerabilidad del sistema. Pero resulta que hoy en día lo que estamos viendo son ataques sin malware y sin archivos. Desde hace unos 10 años viene aumentando muchísimo eh los ataques que se están realizando de esta forma. Nosotros desde el equipo de investigación del humo llevamos más o menos desde el 2022 hablando de este tema y cada vez que voy a un evento la

cifra sube. Siempre inicio con esta con esta diapositiva y las cifras suben hasta ya alcanzar un pico que tenemos el 85%. Entonces ahí la pregunta es, ¿nosotros somos conscientes de esto? Las estrategias de ciberseguridad están basadas en el 85 sin malwar. o en el 15. Eso es algo que tenemos que preguntarnos en todos los niveles. A nivel deciso, la estrategia, yo estoy destinando la plata, ¿para qué? ¿Para el 85 o para el 15? Desde los equipos de arquitectura, los equipos de de ciberseguridad para respuesta, ¿dónde estoy parado yo? ¿En el 85 o en el 15? ¿Alguien sabe por qué este aumento? ¿A qué se debe? ¿Por qué? ¿Qué es lo que está pasando diferente hoy en día?

Sí, eh eso tiene que ver, pero hay alguna serie de técnicas específicas que están haciendo que ya no se necesite maluar. ¿Han escuchado el concepto de Living of the Land? Es vivir de la tierra, vivir. Los atacantes están viviendo de la tierrita de lo que tienen ahí en los equipos de las víctimas. Por eso no hay malwar. No hay malwar porque no se necesita. están aprovechando los binarios, las eh todo el framework que tiene la víctima la están aprovechando para hacer el ataque. Ahí va algo muy importante que era lo que decía ahora Lucho y que Rodrigo no se acordó, que fue la la charla que tuve el el Besides anterior. Amsi tiene un papel fundamental en todo

esto que está pasando por problemas de arquitectura. está presente en absolutamente todas las distribuciones de Windows después de Windows 10 y las fallas de arquitectura que persisten en Windows 11 están ocasionando esto. ¿Alguien me puede decir? Creo que podemos dar algunos algunos premios al que me diga por qué es importante AMSI, para qué sirve AMSI. Si alguien vio la charla, si alguien sabe, no les dé miedo, no hay preguntas, no hay respuestas malas, nadie. Bueno, Rodrigo ya se acordó, ¿no? [risas] Listo. Bueno, más adelante vamos a ver por qué es importante a ese a ese inmenso problema que es que ya no tenemos ni malware ni tenemos eh archivos dentro de los ataques, se suma

eh un problema gigante que es la economía del ranso entonces aquí ustedes ven una en la parte izquierda la economía de eh Initial Access Brokers. que es ese 15% que se mantiene ahí con malwar. Ellos sí diseñan el malware, lo proyectan para obtener credenciales que después venden. Entonces, en ese cuadrito pequeño de la esquina inferior derecha está el ransomware, las bandas de ransomware, el modelo de ransomware as a service. Eso es una empresa completa, es una economía digital gigante que lo que hace es alimenta la otra economía de accesos iniciales de credenciales. compran cookies, compran credenciales, compran todo eso y lo único que hacen es inteligencia a nivel de saber inteligencia normal, saber las industrias, saber qué

industrian pueden tener eh vulnerabilidades a nivel de sus equipos que no tienen la correcta respuesta, etcétera, y compran un modelo de negocio en el que tienen suscripciones anuales, programas de afiliación, eh licencias, partnership para desarrollar una cadena de ataque completa sin que necesiten tanto conocimiento técnico. Entonces, este modelo tiende a facilitarle la vida a los atacantes. Lo que busca es que los atacantes tengan un servicio que compran, que pueden desplegar y por el cual obtienen ganancia. Entonces, allá en esa parte derecha está el 85% de los ataques de hoy en día y en este pedacito el 15%. ¿Vale? Y aquí viene porque es importante AMSI de las bandas de Ransonware, la todas prácticamente utilizan PowerShell como su mayor vector de

ataque. ¿Por qué? Porque AMSI lo que lo que permite sus fallas de arquitectura es que se puedan desplegar cadenas de ataque completas usando Powershell. Powershell está en todas las distribuciones de Windows y lo utilizan como Living of the Land. Es decir, les eh en en el mismo Windows viene por defecto las armas que utilizan los atacantes y las bandas de ransware se aprovechan de eso. Entonces, como les hablaba al principio, no se necesita algo tan absolutamente elaborado. Están usando técnicas básicas, están usando bypasses básicos y aprovechándose de lo que tenemos en nuestros sistemas. A ese a esas tres cosas, a ese escenario que ya tenemos hoy en día, se suma la llegada de los LLMs.

¿Cómo contribuyen los LLMs a ese sistema de ransware as service. Ellos tienen como cuatro eh puntos focales de negocio que son los aspiracionales que lo ofrecen a sus clientes, que básicamente son los atacantes. Uno primero que es el point and click. Básicamente usted hágale click y la cadena de ataque se desarrolla completa y usted no tiene que preocuparse por nada. Es decir, la el conocimiento de los atacantes tiende a bajar el conocimiento técnico, no así el conocimiento de las empresas. ¿Por qué? porque lo va a facilitar muchísimo. Otro punto que es, necesito un lugar completo, un dashboard que llamamos en en la parte administrativa donde pueda controlar absolutamente toda la cadena de ataque y eso también me lo puede

brindar de manera muy fácil. Eh, ahora con Pippe coding, toda eh toda la incursión de LLM en ese sistema va a facilitar muchísimo. Otra cosa importante, la sofisticación y customización de la parte de evasión. Ahora, la ofuscación es muchísimo más fácil hacerla a través de LLMs. Va a facilitar mucho esa parte. Y la última es que ellos necesitan como en toda empresa un servicio al cliente. Ese servicio al cliente tiene que estar 7x 24 automatizado y los LLMs además le ayudan a eso, al servicio al cliente. Otro punto que se incluyó hace muy poco en el 2024, Antropic eh incursionó con el MCP, que es el Model Context Protocol. Básicamente creo que vamos a tener una

charla con Nico que va a hablar muchísimo más de MCP, pero básicamente y aquí para entenderlo en función de del framework que vamos a ver, MCP es un traductor de qué, de una cantidad de aplicaciones de IA, que pueden ser los chats que conocemos y por lo que se masificó la IA, chat GPT, cloud, etcétera, etcétera, ids completos como cursor, como Visual Code. eh otras aplicaciones cualquiera que tenga de que a través de ese protocolo se conectan con eh el mundo legacy, con las APIs, con los programas que tenemos en el computador, etcétera, etcétera. Entonces, básicamente el MCP es un traductor bidireccional de la IA a el mundo legacy para que sea más eficiente esa comunicación, para que el LLM no

esté adivinando qué es lo que tiene que hacer, sino tenga unas instrucciones a través de ese MCP. Eso es un concepto relativamente nuevo y que ya está empezando a masificarse en las infraestructuras actuales. Y aquí viene algo importante que fue de donde surgió la idea de haceru. Entonces, si ustedes se dan cuenta, en la descripción nos da toda la los elementos para empezar a través de esa malicia a pensar que cuál es el siguiente paso del atacante. Vamos a leer uno a uno y se van a dar cuenta cómo esto lo lleva a uno a la conclusión. Primero, para desarrolladores, esto es parte de la documentación de de MCP. Para los desarrolladores va MCP reduce el tiempo

y la complejidad de estructurar código. ¿Eso le sirve a ese modelo Raí o no? Perfecto. Punto uno, para los agentes provee accesos a ecosistemas Legacy y le da capacidades para poder hacerlos más eficientes. Punto dos, al dado, eso nos ayuda. Y el punto tres es el que nos dice, "Vaya y hágalo." Porque para el usuario final dice mayor capacidad para que las los eh aplicaciones de IA y los agentes puedan accesar a sus datos y tomar acciones cuando sea necesario. ¿Qué haría un atacante? cuando yo quiera, ya no cuando sea necesario, sino cuando yo quiera. Si ustedes se dan cuenta, en la parte de abajo, eso es un rato. Yo puedo ir, utilizar las explicaciones

de AA y extraer tus datos cuando yo quiera. Esa es la mentalidad del atacante. A partir de ahí surgió la idea de hacer aaro.

Entonces, acá tenemos un resumen de este de este contexto. Primero 85% de ataques vía LOL, Living of Delan, sin usar malware, sin usar archivos, vía pwell, un ecosistema RAS creciente, super productivo y que da muchísimo profit. LLMs que van a ayudar a que todo se haga más fácil, IMCP para servir de traductor. Todo eso es la tormenta perfecta para que ese flujo de ataque sea el siguiente paso de los ataques de Living of the Land. Y aquí vamos a ir con el capítulo dos. Esta es una frase de nios. Si se dan cuenta, en cada capítulo hay hay una frase que tiene que ver con lo que viene. Entonces, no les voy a decir cuál

es el final, pero sí les digo cómo va a empezar.

Entonces, Aimaru nació de esa idea de juntar todos esos factores, todas esas variables del ecosistema actual y transformarlos en un framework ofensivo para red teamers que permita anticiparnos a eso que va a pasar con los atacantes en el futuro, anticiparnos a nivel de preparar las infraestructuras para que nuestro stack de ciberseguridad pueda detectar lo que tiene que detectar. ¿Por qué hay maru? Porque viene de la palabra amarú. Amarú, que es una palabra en quechua, que significa básicamente serpiente, pero también es una deidad dual, ambivalente, que provee toda la parte del agua, todo lo que se puede pescar, ríos, cascadas, etcétera. Y también tiene la capacidad destructiva. Con esa misma agua hay tormentas, hay tornados, hay huracanes,

hay inundaciones. Y esa figura dual ambivalente es exactamente la misma que se maneja en el concepto de living of the land. Usamos cosas que nacieron para algo específico, administrativo, bueno, en algo malo se puede usar para atacar. Este es el la arquitectura de Aimaru. Entonces, en esa arquitectura tenemos un atacante, un redimer que a partir de un lenguaje natural ya no tiene que saber comandos ni nada, simplemente le va a decir a un servidor MCP de PowerShell, eh, oye, quiero los usuarios del sistema. Él va a ir a SMSP, le va a preguntar a los LLMs. En este caso tiene la opción de eh Char GPT cloud. Va y le pregunta el LLM. El LLM arma todo el

script en un sistema de jerarquías. El framework está preparado para que primero mire si hay algo en powershell que puede tomar para obtener esa información. Después, eh, mira si hay un LOLBIN, si hay un W mic, si si tienen que descargar algún LOLbas de algún otro lado y finalmente si no arma su propio script completo, tiene unos niveles de jerarquía que va priorizando de acuerdo a los resultados que va viendo. Eso pasa únicamente por los puertos 443 y 53 que están abiertos en casi cualquier firewall. llega a un cliente MSP, que es un concepto totalmente nuevo. Al final les voy a dar la la URL del proyecto y ahí hay un paper donde se explica el

concepto de MCP como RAT. Eso fue una introducción nuestra, no existía. Eso simplemente es un PS1, un script de PowerShell que hace una traducción. Entonces, ningún antivirus lo va a tomar porque no tiene nada malo. Simplemente es le llega una orden, hace una traducción y la ejecuta PowerShell. Entonces la ejecuta PowerShell y devuelve el resultado. Lo que ve acá la máquina es un comando en PowerShell que se va a ejecutar y por eso hacía la pregunta de AMSI, ¿dónde eh lo que nosotros ejecutamos en PowerShell? ¿Dónde dónde se guarda? ¿Alguien sabe dónde se guarda lo que ejecutamos en Powershell? ¿En qué carpeta? Por ahí sin miedo. Nadie no se guarda. Esa es la ventaja. Por eso son ataques

files, porque todo está en memoria. Entonces, todo este framework y todo lo que vamos a ver que pueda hacer el el proyecto se va a ejecutar en memoria cuando se reinicia el sistema. Y por eso es que las bandas de ransware el paso final es el reinicio, no va a quedar absolutamente ningún rastro en el equipo. Entonces, el atacante con lenguaje natural pregunta algo, va al servidor MCP, él hace toda la codificación, se va al cliente MCP, se ejecuta como un comando PowerShell común y corriente en memoria y se obtienen los resultados. Esa es la idea central del framework. ¿Cuáles son las características principales? Les hablaba, ahorita la vamos a ver ya en el demo puntualmente, pero las más

relevantes. Tiene monitoreo en tiempo real, eh análisis completo, una jerarquía de pensamiento de los agentes. Cuando algo no sirve, él toma la respuesta y la y la usa como parte de la siguiente ejecución más elevada. A nivel de seguridad y autenticación, MSP nació únicamente como un protocolo de eh traducción, de complemento, pero no tiene seguridad. Lo que hice yo fue eh agregarle un circuito de seguridad completo donde tiene eh multifactor de autenticación, tiene cifrado de canales para que no pueda ser esnifiado en en la red. tiene seguridad en las bases de datos, tiene manejo de APIs, tiene diferentes roles de los eh usuarios que lo pueden utilizar, algunos de consulta, otros de administración, otros de

ejecución de redaming. A nivel de la elaboración de los clientes, y esto es algo super importante, hace clientes polimórficos. Cada vez que yo vaya a enviar un cliente va a ser totalmente diferente, lo que lo hace indetectable a nivel de firmas. Él tiene la capacidad de aleatoriamente o con eh comandos que yo le doy generar versiones diferentes de sí mismo cada vez que lo instalo en un equipo remoto. Y la administración que tiene la integración del LM para dar las respuestas, para armar todo el el código. una generación inteligente de bypass de AMSI que genera también códigos polimórficos con cuatro diferentes tipos de bypasses que lo que puede hacer es ya que el antivirus no me detectó,

aprovecho, deshabilito y empiezo a deshabilitar todos los componentes de los antivirus en cascada. ¿Cuál es la ventaja de que un framework de estos utilice AMSI? Es que es transversal. absolutamente todos los eh antivirus o EDRs o antimalware. Esos son colectores que se utilizan directamente por los eh antimalware que están presentes en el sistema operativo y que al deshabilitarlos los dejan ciegos. Entonces es transversal a todo. Bueno, vamos a ver entonces en acción. Ah, okay. Aquí antes este es el flujo, este es el flujo de que les comenté ahorita de cómo funciona a nivel de una petición y cómo se cifra. Primero usamos HKDF Shadow 56 para hacerle un fingerprint al a los mensajes. Eh, eso viaje encriptado va hacia el

servidor MCP. Allí se valida toda la parte de criptografía, se ejecuta la parte del LLM y la respuesta también va totalmente encriptada. Y si no hay eh match entre los llaves de cfrado de origen y destino, la comunicación se va a romper para evitar que puedan encontrar algo. Bueno, vamos a ver la demo.

Sí.

Este,

ahí me escuchan bien. Conectó el inter. No ya.

Bueno, mientras me coge acá el internet el celular. Listo, ya tengo. Vamos a ver aquí a nivel de la seguridad del del end point que vamos a a usar como muestra. Sería la víctima.

Tenemos un entorno en donde, como vamos a ver, está activado todo. Tiene el real protection, cloud delivery, eh tamper protection, no tiene exclusiones. Vamos a ver acá que no tiene exclusiones, es decir, no hay no hay por ahí una trampa o algo, no tiene exclusiones. está al día de al día de ayer a las 504, es decir, es un equipo que está totalmente actualizado, sin problemas con el antivirus arriba y vamos a ver cómo lo podemos conectar. Esta es este es Aimaru. Este es el dashboard. Básicamente aquí podemos encontrar, ¿no? No sé si están viendo ahí o necesitamos apagar un poquito la la luz acá al frente. Se ve bien mejor sin luz. Sea que nos pueden

Bueno, mientras tanto les voy comentando cuáles son las las componentes del framework. Acá tenemos el dashboard donde está un histórico de cuáles son los clientes totales, clientes conectados, desconectados, cuál es el total de instrucciones que hemos enviado, cuántas de esas instrucciones están en cola, cuántos eh bypasses de AMSI han sido entregados, etcétera. Acemos igual como en un servicio de administración remota, común y corriente, tenemos eh otra pestaña de clientes donde únicamente vas vamos a tener todo el historial de por cada uno. Ahí vamos a poder consultar cuál han sido todos los comandos que le hemos enviado. A nivel de configuración tenemos una pantalla para configurar los modelos que queramos de LLM. él es capaz de eh integrarse con cualquier modelo.

En este caso estamos usando modelo que no es tan eficiente, pero vamos a ver que funciona bien en estos casos, que es el GPT4 Mini, pero también tiene capacidad de eh poderse integrar con cloud o con modelos eh privados o libres sin problema. Simplemente le damos acá el nombre, nombre cualquiera, el proveedor, el modelo y le decimos una temperatura de alucinación. Entonces, le damos una temperatura bajita para que él no nos envíe muchos comandos que realmente no existen. Tiene también un apartado de usuarios en donde yo le puedo dar diferentes roles. Les hablaba de operador, un test, eh un usuario simplemente para verificar eh y un usuario administrador. Podemos manejar diferentes roles en los usuarios

y cada uno va a tener una un API KID diferente. caen las KIS, son las API KYIS. Cada cada cliente, además de todo ese nivel de cifrado eh que tiene a nivel de canal, utiliza API Kiss para poderse enrolar en el sistema y que no vayamos a tener eh por ahí zombies que quieran eh acceder a la información del del dashboard. Entonces, eh cuando queremos hacer un cliente, simplemente venimos acá a el builder. En este builder, como les comentaba, vamos a dejar la IP, en este caso, como lo vamos a correr local, no hay problema. La IP, algunas eh variables. Aquí le podemos decir que genere randómicamente las variables o le podemos dar prefijos de variables que

nosotros queramos. tiene varios grados de ofuscación, un grado básico con un base 64, un grado avanzado de de ofuscación con chonks de base 64, es decir, parte todo el código en pedacitos y después lo reestructura y un elite que tiene todo ese base 64 más encripción en S y multilayer encoding. Entonces, cualquiera de esos niveles lo puedo hacer. Eh, le digo que arme el cliente que lo genere. Él acá me va a generar un acá generar cliente. Listo. Me permite descargarlo. Lo voy a descargar por acá en el escritorio. Y cuando vamos a ver es simplemente un script de e de powersell,

simplemente un script de powersell ofuscado. Él es capaz de cambiar las funciones de lugar también para evitar que sea fácilmente detectable vía firmas y cada uno, cada cliente que genere va a ser totalmente diferente al otro. Es decir, eso da una probabilidad de que sea detectado a nivel de antivirus mínima. Ese ese cliente yo ya lo llevé acá, lo tengo en esta carpeta. Esto generalmente se debería ejecutar vía eh Clickfix, por ejemplo. Ustedes saben, Clickfix es esa técnica donde se engaña al usuario para que ejecute un comando en la barra de tareas vía ejecutar y esto quedaría absolutamente en memoria. Lo quise poner acá en el equipo para que se den cuenta que ni aún estando en el equipo se

detecta. Entonces, lo vamos a ejecutar. Esto puede ser básicamente el comando que ejecutan desde Clickfix. Le damos el URL y lo voy a poner en modo ebook para que veamos todo lo que hace a nivel de cliente. Voy a enviarlo y aquí ya está conectado. No saltó nada. El antivirus no hizo nada. Está totalmente actualizado y no no hubo problema. Y acá si yo voy al eh al dashboard, al overview, acá ya ya tengo una conexión. Entonces, acá está conectado el desktop 5B 4H. Voy aquí a decirle, "Okay, iniciemos una sesión de chat y yo ya puedo empezar, es decir, el operador o el atacante puede empezar a a preguntarle." Entonces, el atacante a partir de ahora no tiene que

saber absolutamente nada, simplemente le voy a decir, "Lístame eh de device users." Él va a Entonces, okay, el asistente me dice, "Okay, entonces envié este código que me sirve para esto." Dice, "Explicación. Este comando lo que va a hacer es traer eh los nombres y e nombres y características de los usuarios contenidos en el equipo. Entonces, aquí me dice, está el administrador en fals, boss, guest, de y cuáles están activos y cuáles no. Y el atacante no tuvo que saber absolutamente nada. Ah, quiero saber cuál es la IP del equipo. Entonces le digo, listame de IP address.

Él crea de nuevo todo el argumento que yo no tengo que saber absolutamente nada de programación y me trae todo estructurado. Entonces ahí ya está la IP, la IP local. Le digo, "Okay, tráeme los procesos." Por ejemplo, listame active process.

Y en cuando, como vamos a ver acá en el equipo, lo que ve el equipo es un comando absolutamente cifrado, por lo que AMSY no tiene idea de qué está pasando ahí. Eso está inyectado directamente en memoria. Acá no ha saltado absolutamente ninguna alerta y yo sigo teniendo un comando y control que aunque no lo parezca está sin problema. A ver, voy a poner acá otro, por ejemplo, list de files en documents folder. Ustedes se dan cuenta, ¿esto qué es? Un comando y control. Ahí el atacante va a poder sacar toda la información que quiera sin absolutamente ningún problema. Ya es cuestión de imaginación. Entonces, aquí arma todo la cadena del ataque y envía la ejecución. Amén. Ah, aún está

ejecutando el comando anterior. Como tengo el internet, el celular se vuelve un poquito lento, pero miramos acá. Mira, si está absolutamente todo cifrado. Ah, acá ya me llegó. Me llegaron los procesos. Si habían encolados una vez me llegó todos los procesos, cuáles están activos. Él me da está programado para que me dé la información más relevante de cada uno de los comandos. Acá me listó cuáles son los archivos que tengo en la carpeta documento. Le puedo decir, eh, ah, bueno, otra cosa importante es que si el atacante no sabe algún algún idioma específico, se lo puedo preguntar en el idioma que yo quiera. Le voy a decir muéstrame el contenido de cookies.txt.

Él de nuevo estructura todo con la jerarquía de pensamiento que les mostré. Ah, acá hay un error. Ese es el que hace poco escuchaba el espíritu de las demos llega y se apodera de de todo. A ver. es

pun punto txt. A ver. Ah, es que es cookies.

Okay. Aquí igual el él arma toda la Ah, bueno, él supo que era cookies cuando yo lo puse mal. Eh, va, hace el la ejecución del comando. Aquí está el error. Entonces, como se dan cuenta, acá tenemos un, mira, este es el la cookie. Acá está el contenido, eso es lo mismo que tenemos acá en en la cookie que tengo en el escritorio. Y así puedo hacer absolutamente todos los comandos que quiera. Si el atacante tiene alguna idea de programación, también puede generar comandos directos aprovechando toda la estructura. Como ya está en memoria, no necesita pedirle permiso a AMSI y puede generar los comandos que quiera sin problema. Entonces, yo le puedo decir acá, por ejemplo, que me haga un dir y

me liste la lo que tengo en el equipo y él va a ir allá y me va a lanzar como si yo tuviera un una shell remota. Es el mismo concepto de shell remota, solo que haciéndolo un MCP, algo que no nació para eso, que es un archivito traductor y que va a ser muy difícil que algún antivirus lo pueda detectar. Aprovechando ese canal también podemos enviar scripts completos. para facilitar la administración. Entonces, por ejemplo, los LLMs tienen muchos eh restricciones. Si yo le digo, por ejemplo, que me ejecute execute a DNS Cat, él me va a decir que no se puede porque mira, aquí puede ser potencialmente peligroso, pero aprovechando ese canal de MCP, yo puedo inyectarle los comandos

directamente y que el dashboard sea capaz de tomarlos de otro lado y trasladarlos allá sin que lleguen al LLM. Y eso es lo que hacemos directamente cuando le digo que utilice los bypasses de AMSI. Entonces, si venimos por acá por el dashboard, acá tenemos tools. Entonces, el framework permite bypass de AMSI en cuatro niveles y a futuro espero que para la presentación de de esta misma herramienta, ojalá en Black Hat, pueda tener eh este otro módulo que lo que hace es entrar al equipo, verificar si tiene agentes de cloud, si tiene agentes de cursor, si tiene otro tipo de agentes y utilizarlos para desarrollar el resto del ataque. Es decir, se va a apropiar y va a

subvertir esos agentes que ya están en el equipo y además de todo lo que se puede hacer a este lado, que los agentes que ya están instalados hagan el trabajo por mí. Por ahora el módulo de AMSI ya está totalmente desarrollado y funcional. Vamos a probarlo. Entonces, si nosotros venimos acá y le decimos, voy a abrir otra ventana de de PowerShell y voy a abrir acá este, le voy a decir, voy a ejecutar. Siempre hago esta esta prueba con DN Scat. A ver si acá me escribe que está un poco lento esto.

Siempre hago esta prueba con DSCAT porque es un es un malware escrito en PowerShell que es muy antiguo. Es decir, en teoría todos los antivirus desde el más malo tendría que poderlo detectar sin problema. Acá, bueno, vamos a acá un poco lento y voy abriéndolo también acá de este lado. Esta es una herramienta que es como del 2003 creo. Y eh lo que permite, bueno, ¿qué qué hace un túnel eh DNS? Hay hay un regalo para el que me diga que hace un túnel DNS. Eso es muy fácil. Ay, sin miedo, sin miedo. No, no tengan miedo. Ah, pero el Lucho no vale. Bueno, sí, Lucho vale si no hay más. Eh no nadie nadie

no. Transferencia de zonas. Ese no es el concepto. Encapsula el tráfico. ¿Cómo? A través de de un dominio o de un subdominio. Exacto. Lo que hace un día en túnel. ¿Cómo es tu nombre? Ricardo. Ricardo, gracias. Lo que hace un DNS Tuneling básicamente es a través de los subdominios encapsular eh sesiones completas en donde va randomizando esos subdominios y hay un eh servidor eh autoritativo que recoge esa información de los subdominios y las vuelve una sesión completa. Entonces, eso es lo que hace DNSCAT. Este específicamente es muy antiguo. Vamos a ver acá. Ahí se ve bien. Sí, es del 2023. Esto es algo que cualquier antivirus ya debería tomar. Entonces, si yo hago en condiciones normales, copio esto y lo

ejecuto en otra ventanita por acá de powers shell. Vamos a ver. Si yo ejecuto esto, el antivirus lo tiene que tomar. ¿Por qué? Porque estoy ejecutando. Ams. Va a AMSI. lo toma y determina que hay exactamente contenido ha sido bloqueado por el antivirus, el software antivirus, pero cuando yo ejecuto a través de el bypass de AMSI va a dejar de detectar cualquier cosa que yo le envíe en la sesión. Entonces, la ofuscación tiene cuatro niveles. Hay cuatro niveles de bypass. Uno primero, el más complejo de todos es un LLM polimórfico mixto, que lo que hace es tomar las otras tres eh técnicas, hacer un mix, que puede ser diferente cada vez y e intentar hacer el bypass.

Aquí, como tenemos eh alguno, este disable copy, básicamente va a ir a deshabilitar sin problema. Entonces voy a usar ese. Va a ser un patch de AMSI. Ahí no me voy a a adentrar en la técnica, pero Lucho lo decía al principio. En YouTube hay charlas de del bypass de AMSI donde detallo específicamente qué se realiza. Acá vamos a ponerle una fuscación avanzada. Le voy a cambiar acá los prefijos de las variables. Voy a ponerle cima y por si acaso algún antivirus lo pudiera tomar por ese lado. Y vamos a ponerle acáin cualquier cosa. Voy a decirle a cuál de los clientes quiero que se le ejecute el bypass. Hago un preview script para verificar qué fue

lo que creó. Él me crea acá el exploit en tiempo real. es capaz de hacer el buofer diferente cada vez que yo lo armo y le digo que lo ejecuten el cliente. Entonces, okay, los resultados en el cliente ya se fue 4.82. Vamos a ver cómo se ejecutó acá en el cliente. Okay. Proceso neutralizado, es decir, el bypass fue exitoso. Cuando yo voy a ejecutar este comando de nuevo vía el vía acá eh el dashboard, él ya debería dejarme hacer sin problema. Ces lo voy a ejecutar directamente el comando de Yenas Scat.

Entonces lo copio acá, lo pego, lo ejecuto en el dispositivo y esperamos los resultados. Si esto me dice que el antivirus lo detectó, quiere decir que el bypass no fue exitoso. Si no me dice nada, quiere decir que ya está cargado en memoria.

Vamos a verificar acá.

Acá no, no ha saltado nada, absolutamente y okay, se recibió la instrucción, se ejecutó la instrucción exitosamente y no hubo problema. Como el problema de AMSI es que toda esta sesión donde está corriendo el servicio eh queda descubierta, queda sin monitorización. Yo ahora ahí puedo hacer una conexión a AMSI sin problema. Vamos a intentarlo acá. Voy a ir a Se ve esa pantalla o le subo ahí. Ya se ve bien. Perfecto. Voy a hacer una conexión acá a un servidor donde ya tengo eh un servidor de Dincat predefinido. A ver si server.

y voy a ejecutar.

Listo, acá ya está corriendo un servidor de DNS Cat. Si yo bajo esto, se llama el dominio esdransfer.sits.site. Si yo quisiera hacer una técnica muchísimo más elevada como desplegar mímicas, como desplegar cualquier cosa que sea muchísimo más intrusivo, a partir de ahora ya lo puedo hacer y el antivirus no lo va a detectar. Es decir, yo puedo acá ejecutar parar a Imaru. Voy a parar a Imaru y voy a ejecutar a establecer el túnel, la shell completa vía DNSC y no me lo va a detectar nada. Vamos a hacer la prueba acá. Ya lo envié y efectivamente, si se dan cuenta, acá yo ya tengo la sesión iniciada, es decir, tengo una chel remota y no lo detecto absolutamente

nada. Voy a ver acá, le voy a decir, "Okay shell y debería ver todo el sistema sin problema." Listo, acá ya tengo la shell. Estoy ahora mismo en el equipo víctima vía DNS sin ninguna restricción. Le voy a decir dir ahí me va a listar todo lo que tengo. Exactamente eso es lo que tengo yo acá en en la ventana. Voy a decir vaya hacia atrás c punto y vuélvame a listar. Y a partir de acá es pura imaginación porque yo ya tengo una chel remota sin restricción, sin absolutamente nada y todo usando power. Entonces, ese es básicamente el poder que tiene Aimaru. Si ustedes se dieron cuenta, el atacante, si yo no supiera nada, podría

ser el ataque sin problema, porque todo es modular. Acá yo ya tengo la Shell completa, tengo una terminal en el equipo de la víctima y puedo desplegar lo que quiera en esa terminal y no va a ser detectado, censado, monitorizado por ningún antivirus.

Vale. Bueno, no sé si si quieren si tienen alguna pregunta específica sobre la demo o continuamos con la parte tres, que es verificar ya cómo Sí.

extraer información del PC. Sí, claro, claro. Porque cuando yo le estoy diciendo, por ejemplo, acá ahorita que le dije, permíteme, vuelvo a iniciar acá el voy a parar es lo puedo extraer fácilmente vía la shell. En ese caso no hay problema. Pero si yo quisiera hacerlo via Imaru, pues cuando yo le digo que me muestre los archivos, básicamente estoy extrañando la información. Yo puedo decirle, cópiela en un binario y envíela, péguela en un eh o envíe la vía correo y él me va a hacer el script completo para lograr eso. O simplemente puedo ir más paso a paso y decirle, "Muéstrame esto." Y copio y pego, copio y pego y va a ser eh lo

mismo. Podría decirle, por ejemplo, envíalo a Megablop o a eh Google Drive o etcétera, etcétera. todo lo que yo pueda controlar vía comandos, él va a ser capaz de generar la el código para poderlo hacer. Entonces, por ejemplo, no sé, acá yo le podría decir que me acá lista los archivos en document folder and compress. documents folder. Acá le digo que los liste, los comprime en un zip y después le puedo decir, "Envíemelos vía un correo que tenga ya el usuario desplegado. Ah, esperar acá. Listo, ahí ya están llegando las instrucciones. Vamos a ver cuál fue el Mira, acá me los listó. Okay. Yo le digo e compré

es lo que hace es, mira, acá ya creó el el script, si te das cuenta, creó el script para crear el documents. a partir de la información que tomó. Es decir, ahí el [carraspeo] la cuestión es imaginación. Yo le puedo decir, "Envíalo, comprímelo en ZIP, utiliza el navegador y las cuentas que te voy a pasar vía eh la consola, usuario de contraseña y conéctate a Megop y envíalo." Eso no hay problema. Acá por cuestión de ancho de banda se nos demora, pero si te das cuenta acá ya lo hizo. Creó el punto zip y simplemente es enviarlo a otro lado o o ve a las cookies, extráelas y fórmame un una carpeta completa con eso.

Vale. Bueno, eh continuamos y si quieren al final más Sí. Bueno, tengo tengo dos preguntas. Sí. La construcción del C2 entra por el modelo o hace parte de la solución, ustedes construyen y el modelo solo traduce las palabras y crea las instrucciones. O sea, el modelo es el C2. Sí, si se dan cuenta, es algo extraño porque esa traducción que es el cliente MCP es el que está sirviendo de pivot de C2 como el modelo es RAT. Realmente el servidor está es en el en la víctima. Si se dan cuenta que ahí cambia un poco, el servidor es la víctima. Entonces el cliente MSP se vuelven en el servidor RAT del modelo. Ese lo que ahí hay un

cambio completo del paradigma de lo que de lo que se genera comúnmente, porque por un lado es cliente y por el otro lado es servidor. Entonces, en un RAT común, ustedes saben que el servidor es el que está en la víctima, ¿verdad? porque él se él genera una conexión eh reversa, pero este en este caso el MCP client, que es el que resuelve las instrucciones, funciona como ese RAT. Entonces es servidor y para una cosa, para el RAP, pero es cliente del MCP porque él realiza la el ejercicio de traducción. No sé si esa era la pregunta. Hm. O o quedaste quedaste peor. Sí, vemos que el PS1 instala un cliente MSP. Sí, sí, sí. O sea, el cliente del del Aimaru

es un cliente MSP. Este, porque es que tú ahí desde esa interfaz creas diferentes C2 que son los que se instalan en la en la máquina víctima, ¿cierto? Sí. Ah, o sea, en esta pantalla lo que generamos es un cliente MCP, que es la el que se instala en la en la máquina víctima, ¿no? Y ese va a ser el RAT MCP. ¿Sí? Entonces, ese RAT MCP, como MCP es un cliente, ese ese script como MCP es un cliente, pero a nivel de RAT es el servidor porque realiza la conexión hacia el servidor MCP. Por eso la en esta, si te das cuenta, en este slide, en este slide de acá se muestra que la

conexión empieza desde el desde el cliente. Si ves, esa conexión la empieza el cliente. Okay. Y esos modelos tienen algún proceso de de entrenamiento con con archivos fuentes o algo así. Sí, claro. El MC el MSP está estructurado y eso es una muy buena pregunta. El MSP está todo esto se hizo con Cloud Code. ¿Cómo conseguí hacer todo un framework ofensivo con Cloud Code? Haciéndole pensar que esto es un framework administrativo. Si se dan cuenta, un RAT esencialmente es un binario o un script o lo que sea de administración. Lo que pasa es que para lo que yo utilice la información es lo que cambia el sentido de hacerlo remote access tool a remote access tr Troyan. Okay. Entonces, esto

está entrenado haciéndole pensar con todo el código que es un administrador. Por eso él me envía toda la información sin problema. ¿Vale? Bueno, aquí solo para cerrar capítulo 3, la diferencia entre conocerlo y haberlo andado. Entonces, yo creo que hay una pregunta, deben estar ustedes en este momento preguntándose, bueno, ¿y qué hacemos? Las empresas, las eh los equipos de Blue Team, la en la parte defensiva, ¿qué hacemos? Pues históricamente estamos, lo que decía Lucho, estamos en en una nueva era en donde ya va a cambiar trascendentalmente lo que estábamos haciendo en diferentes niveles. Pasamos de una era de castillo en la que sabíamos exactamente quién era el enemigo. Simplemente poníamos un firewall y con eso estábamos contentos.

nos dimos cuenta después que eso no era suficiente. Creamos un defens de dep, una defensa en capas que ahora nos estamos dando cuenta que no es suficiente porque con la cantidad de problemas de identidades que tenemos se están formando huecos entre esas capas. Un administrador me puede aparecer en la línea enemiga y yo lo que tengo que hacer es interactuar con esos usuarios para saber cuál es la intención. Y de allí salió la eh era de la ciberguerra no linear, que es con un perímetro que no está definido, un perímetro esparcido totalmente entre proveedores, entre usuarios, entre modelos híbridos en los que tengo que interactuar con el enemigo, entre comillas, y eh saber cuál es la intención. Tengo que monitorizar,

monitorizar mis redes, monitorizar mis identidades y no va a ser suficiente simplemente con tener un stack que me cubre perímetro, sino tengo que estar entre los diferentes niveles. Por eso hay que asumir que estamos comprometidos siempre. Ese y pasar de modelos de defensa en capas, ojalá a modelos zero trust, donde por lo menos deberíamos intentar aplicar los mínimos principios de mínimo privilegio, microsegmentación, monitorización de la red. Si se dan cuenta, ahorita en el ejemplo que dice, la única forma de detectar eso es una herramienta que me pueda monitorizar la red y que sea capaz de encontrar anomalías a nivel de las peticiones DNS. Esa va a ser la única la única manera. Justo ayer vi un caso, yo dije, voy a

llevar este caso, es bien amplio, eh, puede o no ser real, pero ayer justo vivimos un ataque igualito a ese. Entonces, esto sí está pasando en la vida real. Hay que monitorizar el tráfico en función de las anomalías. Hay que monitorizar las identidades en función de las anomalías y hay que cambiar el paradigma de lo que teníamos antes de una defensa enfocada en Malwar. Eso era lo que tenía para contarles hoy. Espero les haya gustado. No sé si hay preguntas adicionales, si todo está claro o nada está claro.

Sí, ahí hay una pregunta, eh, o sea, un monitoreo, [carraspeo]

sí, claro. Algo importante que permite serotrost, cerotrost no es una una bala de plata, pero lo que nos permite es poder tener una normalidad en la red, que esto es algo que continuamente repito y es cuando el caos es la normalidad, yo no puedo encontrar nada anómalo. Entonces, lo que permite tener unas buenas prácticas y una estrategia de ciberseguridad es tener una normalidad que nos haga ver las anomalías más fácilmente. Eso se puede detectar fácilmente porque algo que monitoree conexiones DNS es capaz de ver eh la Shell, ¿no? La Shell más allá habrá que verificar cuál es la infraestructura a la que se conecta, en este caso el servidor MCP, si es algo que yo

regularmente uso o no. Tendría que monitorizar las identidades para ver si esa identidad tiene privilegios de ejecutar ese Power Shell o no. Eh, es decir, todo la ciberseguridad de hoy en día está basada en anomalías. Esa es es el mensaje de fondo. Sí. Hola, don Mario. Sí señor. Eh, pregunta en no recuerdo en el demo eh precisamente el acceso a la máquina pues del test fue con una identidad de un usuario estándar o un usuario administrador. No, estándar. Ese es el, por eso les hablaba de los problemas de arquitectura de AMSI. El principal problema de arquitectura de AMSI es que corre en userland y me permite modificarlo en userland. Es decir, que yo puedo hacer

modificaciones del sistema casi a nivel de kernel sin necesidad de ser administrador. Y eso es algo que está en su concepción. Por eso es que las bandas de Ransware la están sobreexplotando, porque hasta que no se eh rediseñe toda la parte de la arquitectura de AMSI respecto a las identidades, esto va a continuar pasando. Arriba mi pregunta precisamente porque es que eh si uno mira en la realidad eh desde los bueno, de hecho los antivirus es lo más lo más base, pero por ejemplo un EDR o una base para un XDR partiendo de de una plataforma EDR lo hace uso casi que en el 100% de sus capacidades analíticas de ese AMSI que trae el Windows.

Sí, claro. Y es y es totalmente transversal a todos los antivirus. Entonces, ¿qué pasa? ¿Hasta dónde precisamente con estos tipos de escenarios uno va a seguir confiando en esos modelos de protección depoint que al final están construidos bajo esa misma arquitectura pasada y que obviamente esto los va a dejar pasar sin problemas? Por eso es importante, o sea, acá la idea no es tampoco satanizar tecnologías. Todas las en algún punto del stack de seguridad las tools son necesarias. Lo que tenemos que buscar es que se complemente el stack completo de una manera adecuada. Si yo tengo LDR para algunas cuestiones específicas, no es una vale de plata, no es infalible, se puede bypasear, pero yo debería tener

algo que me monitore de la red como una capa adicional, algo que me monitore eh identidades como otra capa adicional e ir formando un equipo. Eso es como el fútbol, o sea, no puede estar solo el arquero allá esperando que lleguen los 11 del otro equipo. tienen que haber capas que logren eh apoyar y articular una estrategia completa. Lo otro también es verificar cuál de esos proveedores está pensando más en futuro hacia estos modelos. Vamos con la última pregunta. Eh, ahí justamente con el tema de monitoreo, digamos, tú eh pues uno tiene el log del EDR, el log del antivirus, digamos que todo lo puede llevar a un 100. Si yo me parara solo desde la

perspectiva de eventos de seguridad de Windows, digamos, desde un 100, no lograría ver este tipo de eventos. O sea, esto se ve más desde un de un EDR, porque tú decías que que se va y pasea y entonces a la cara de las herramientas no se ven los eventos como para ver cuál es la mejor estrategia para detectar este tipo de eventos. Aquí la mejor estrategia es poder articular eh flujos de visibilidad a nivel de identidades. Si te das cuenta ahí lo importante es saber si ese usuario tenía el permiso de ejecutar PowerShell ejecutó. Si si esa conexión que hizo al servidor MSP debería haberla hecho. Entonces, hay muchísimos niveles en los que sí se

puede detectar. Lo que pasa es que hay muchísima información. Yo siempre eh utilizo una gráfica en donde está el tiempo de promedio de eh dual time que llaman, eh que es lo que está un atacante en la red y eso bajó de 400 días a 10 días máximo y ataques que se realizan en 20 minutos. Manualmente no lo vas a ver nunca. Todos esos flujos tienen que ir a a algún medio automatizado que pueda tomar decisiones tan rápido como el atacante lo está haciendo utilizando estos modelos. Por favor, un fuerte aplauso para Mario Lobo. [aplausos]

Eh, por parte de la organización Iburú de Pereira, tenemos un detalle para nuestros expositores. Muchas gracias. Excelente presentación. Uno sale realmente con mucho miedo de estas capacidades, de estas tecnologías. que facilitan a los ciberdelincuentes el despliegue y el bypass de todos los controles en estos.