Mr. Kelso's ELD I Class: ATTPwn En El Red Team Village De DefCon 28 Safemode & 8Dot8 Las Vegas

Ya hemos hablado bastante de ATTPwn en este blog. Es el resultado del estudio y análisis que hemos ido haciendo en estos últimos meses de la matriz ATT&CK de MITRE. Una forma de ordenar el conocimiento de las amenazas, a través del uso de tácticas, técnicas y procedimientos. En el mes de agosto hemos estado participando en diferentes eventos gracias al trabajo realizado con ATTPwn, el cual ha dado como resultado la herramienta colaborativa que tenéis en el Github de ElevenPaths.

Figura 1: ATTPwn en el Red Team Village de DefCon 28 Safemode & 8dot8 Las Vegas

Como comentamos en BlackHat, ante algunas preguntas, seguimos actualizando y metiendo funcionalidades la herramienta. Es un esfuerzo importante, ya que la herramienta tiene un gran recorrido y muchas posibilidades a realizar. Es más, pensamos en una API, en un GameScore, en añadir mayor conocimiento y en facilitar la inclusión de la implementación de cualquier usuario dentro de la herramienta. No es un proyecto que nace y muere en breve, es un proyecto para seguir creciendo y sumando. Además, cualquier ayuda en forma de colaboración será bienvenida.

Figura 2: ATTPwn en GitHub

El sábado, 8 de agosto, nos tocaba participar en DefCon en un horario muy matutino. Eran las 6:20 de la madrugada hora España y Fran Ramírez y yo estábamos delante del ordenador para poder exponer la conferencia en el Red Team Village. En el horario de Las Vegas, la charla era a las 22.00, por lo que nos tocaba esperar hasta las 7.00 de la mañana, hora España. Sea como sea, encantados de poder estar en uno de los grandes eventos.

Figura 3: Puedes contactar con mi compañero Fran Ramírez en MyPublicInbox

Unos días antes estuvimos haciendo pequeños cambios en la herramienta. Por ejemplo, el fichero data.py sufrió algún cambio para evitar que implementaciones futuras de técnicas que estaban en un plan de una amenaza "crasheasen" la ejecución de la amenaza, precisamente por no tener la implementación indicada.

Como digo es un proyecto vivo en el que seguimos añadiendo funcionalidades e implementaciones cuando podemos, por lo que en algunas ocasiones podemos definir el plan de una amenaza con las técnicas mapeadas del MITRE y no disponer de ningún tipo de implementación todavía. Alguna idea como integrar Red Atomic en ATTPwn o dar la posibilidad de utilizar ciertas funcionalidades de Atomic Red en ATTPwn pueden ayudar a paliar esto que os comentaba y, por supuesto, enriquecería el proyecto con un marco de trabajo muy interesante, como es el proyecto Atomic Red.

Figura 4: Proyecto Atomic Red

Hace tiempo, ya comenté que hablaríamos algún día de este proyecto en profundidad, porque es algo muy interesante. Esos ficheros YAML y las posibilidades de integración que ofrecen son dignos de estudio. Hasta aquí os puedo leer.

Figura 5: Hacking avanzado en el Red Team con Empire

Eso sí, la importancia de crear inteligencia de amenazas mapeadas con la matriz de ATT&CK tiene su importancia, tanto para un Red Team como para un Blue Team. La idea final es que lances esto sobre un activo para verificar que tus controles, es decir, tu inversión en seguridad, funcionan correctamente, es decir, son eficientes y eficaces.

Defcon 20 Safemode & 8dot8 Las Vegas

Ahora, os dejamos el vídeo de la charla del Red Team Village de DefCon en inglés, en el que podéis ver cómo se adapta el proyecto a la matriz de ATT&CK, la arquitectura de la herramienta, diferentes casos de uso y cómo se puede colaborar con el proyecto, ya que éste último punto es el más importante, desde mi punto de vista.

Figura 6: ATTPwn en DefCON 28 Safemode Red Team Village

Pronto terminaremos de volver de vacaciones, unas vacaciones merecidas tras este extraño año que nos ha tocado vivir, pero del que seguro podemos sacar lecturas positivas. Al menos, tenemos que hacer ese ejercicio. Cuando parece que todo se acaba, podremos sacar algo positivo y saldremos con más fuerza.

Figura 7: ATPwn en 8dot8 Las Vegas en español

Tras pasar por BlackHat USA y DefCon, nuestro amigo y compañero Gabriel Bergel (CSA de ElevenPaths) nos invitó a asistir a 8dot8 LasVegas. Esta edición especial de la 8dot8 se suele celebrar en una suite del Flamingo en LasVegas, pero en esta ocasión tocó hacerla online. Es una edición para ponentes hispanoamericanos que presentan en BlackHat o en DefCon. Siempre es un placer poder estar con Ragnar y el enorme equipo de 8dot8.

Saludos,

Autor: Pablo González Pérez (@pablogonzalezpe), escritor de los libros "Metasploit para Pentesters", "Hacking con Metasploit: Advanced Pentesting" "Hacking Windows", "Ethical Hacking", "Got Root", "Pentesting con Powershell", "Pentesting con Kali Silver Edition" y de "Empire: Hacking Avanzado en el Red Team", Microsoft MVP en Seguridad y Security Researcher en el equipo de "Ideas Locas" de la unidad CDCO de Telefónica. Para consultas puedes usar el Buzón Público para contactar con Pablo González