Tras comprometer un equipo, un atacante puede intentar crear una reverse shell o canalizar tráfico a través del sistema. Estas técnicas pueden proporcionar acceso interactivo, exponer servicios internos o ayudar a eludir restricciones de red.

La fuente define una búsqueda multiplataforma centrada en utilidades de tunelización y administración remota de uso común.

Herramientas incluidas en la detección

El componente de procesos de Windows incluye:

• ssh.exe;

• plink.exe;

• socat.exe;

• nc.exe;

• ncat.exe;

• chisel.exe;

• cloudflared.exe.

La consulta también busca argumentos de línea de comandos como -R, -L, reverse o tunnel.

La telemetría de auditoría de Linux se examina en busca del mismo conjunto general de herramientas.

Consulta de detección

(data.win.system.eventID:1 and data.win.eventdata.image:(*\ssh.exe or *\plink.exe or *\socat.exe or *\nc.exe or *\ncat.exe or *\chisel.exe or *\cloudflared.exe) and data.win.eventdata.commandLine:(*-R* or *-L* or *reverse* or *tunnel*)) or (rule.groups: audit and data.audit.command:(ssh or socat or nc or ncat or chisel or cloudflared))

La fuente registró 11 eventos coincidentes durante los 30 días anteriores.

Interpretación de los resultados

Algunas de estas herramientas son legítimas. El reenvío de puertos SSH, por ejemplo, puede ser utilizado por administradores y desarrolladores. Cloudflared puede formar parte de una arquitectura de aplicación aprobada.

La pregunta importante es si se espera la herramienta en el equipo y si la línea de comandos coincide con un caso de uso aprobado.

El uso inesperado en un servidor de producción o en un endpoint recién comprometido debe recibir más atención.

Prioridades de investigación

Revise:

• argumentos de línea de comandos;

• nombre de host o IP de destino;

• puertos locales y remotos;

• cuenta de usuario;

• proceso padre;

• ruta del archivo y firmante;

• marca de tiempo de la primera detección;

• otra actividad del mismo equipo.

Un túnel iniciado por un proceso de servidor web o inmediatamente después de actividad RCE sospechosa es especialmente importante.

Estrategia de ajuste

Cree líneas base explícitas para el reenvío SSH aprobado, las herramientas de soporte remoto y los despliegues conocidos de Cloudflared.

Las excepciones deben limitarse a:

• equipo conocido;

• cuenta aprobada;

• destino esperado;

• ruta binaria esperada;

• estructura de línea de comandos esperada.

Así, la regla sigue siendo útil para usos inesperados en otros lugares.

Correlación con otra actividad

Una reverse shell suele aparecer junto con reconocimiento, acceso a credenciales o persistencia. Correlacionar estos eventos puede aumentar la confianza.

Por ejemplo:

aplicación web → shell → túnel chisel → volcado de credenciales

proporciona un patrón de ataque mucho más claro que cualquier evento por sí solo.

Valor operativo

La fuente produjo solo 11 coincidencias, lo que hace de esta una búsqueda relativamente específica.

Monitorizar herramientas de tunelización comunes puede ayudar a los defensores a identificar canales de administración externos que aparecen tras una explotación y ofrece una valiosa visibilidad del comportamiento de comando y control.