Allá por noviembre de 2019 impartí una charla en el Cybercamp. Participaba allí por sexta vez y hablé sobre ATT&CK, la famosa matriz de MITRE y las posibilidades que tenían las organizaciones de hacer la emulación de adversarios. En esta charla presenté una prueba de concepto de una herramienta que automatizaba la parte ofensiva y de emulación de la matriz o lo que era mi idea de hacerlo. Tiempo después, la idea se incorporó al equipo de Ideas Locas.

Figura 1: ATTPwn: Emulación de adversarios. Una herramienta ofensiva para ATT&CK camino de BlackHat USA 2020 (1 de 2) #IdeasLocas

Durante la charla de Cybercamp se pudo ver cómo funcionaba la matriz, qué eran las técnicas, las tácticas, los procedimientos, etcétera. Lo curioso de aquella charla es cómo monté la herramienta, aprendiendo flask a contrarreloj para poder tener mi prueba de concepto. Esos colores estridentes, con el bootstrap ayudándome, en lo que podía ser mi primer proyecto con esta tecnología. Tocaba aprender para hacer algo vistoso y como digo estridente en lo que a colores se refiere. Os dejo la charla por aquí, por si os puede ser de interés:


Figura 2: Emulación de ataques de Att&ck
En enero de 2020 nace ATTPwn. Con la incorporación al equipo de mi compañero Victor Rodríguez y con las ideas más claras de lo que queríamos hacer diferente, comenzamos a seguir poniendo piedras y diseñando lo que sería ATTPwn. La base la teníamos de lo que se presentó en Cybercamp, pero queríamos una herramienta que fuera lo suficientemente inteligente como para poder emular a la amenaza con la esencia de ésta.

Figura 3: Libro de "Empire: Hacking Avanzado en el Read Team" de 0xWord

¿Esto cómo es? Queríamos que una emulación de una amenaza fuera capaz de pasar de un proceso a otro, fuera capaz de saltar de una máquina a otra, de poder descubrir, de poder enumerar servicios, de poder disponer de inteligencia o de poder disponer de los datos que descubren otras técnicas para que las técnicas que se utilizan más adelante en la amenaza aprovechen dicha información.

Tras darle vueltas a todo esto, se consiguió una primera versión de ello. Una idea potente. Una idea que puedes utilizar de forma atómica, teniendo mapeadas las implementaciones de las técnicas con ellas mismas y con las tácticas, para seguir lo que dice el MITRE. Pero también es una idea que te permite recrear las amenazas o la esencia de ellas, paso a paso y ver si tus controles de seguridad o tu equipo defensivo se “entera” de lo que ocurre. ¿Mola?

¿Qué es ATTPwn?

Como se dice en su paper, ATTPwn es una herramienta diseñada para la emulación de adversarios. El objetivo de la herramienta es acercar la emulación de una amenaza real con las implementaciones basadas en las técnicas y las tácticas del marco de trabajo de MITRE ATT&CK. 

La idea es emular cómo una amenaza opera en un escenario de intrusión, en el que la amenaza ha tenido éxito. La herramienta está orientada a sistemas Microsoft Windows a través del uso de la línea de comandos Powershell. 

Gracias a ésta se implementan las diferentes técnicas basadas en MITRE ATT&CK. La herramienta está destinada para que se pueda llevar a cabo la emulación de adversarios como para de un ejercicio de Red Team y poder verificar la eficacia y eficiencia de los controles en la organización ante una amenaza real.

Figura 6: ATTPwn en GitHub

ATTPwn tiene su repositorio de Github disponible, aunque la versión que estamos trabajando ahora no está aún disponible. La liberaremos en la primera semana de agosto, ya que queremos darla “mimo”. Es una versión especial, ya que estaremos en BlackHat USA 2020 Arsenal presentándola. 

En esta ocasión tendrá que ser online, pero estamos muy orgullosos de este hito en Ideas Locas. Un equipo: siempre con la misma ilusión y el mismo orgullo.

Arquitectura

La arquitectura de ATTPwn está pensada para poder incorporar de manera sencilla varios elementos como, por ejemplo, implementaciones de técnicas o nuevas amenazas conocidas.

Figura 9: La arquitectura ATTPwn consta de tres partes

En la segunda parte de este artículo veremos cuáles son los flujos de la herramienta y cómo se le puede sacar partido en diferentes escenarios, junto con una demostración de la herramienta en funcionamiento en un entorno controlado.

Saludos,

Figura 10: Contactar con Pablo González