CISA: dos organizaciones de infraestructuras críticas fueron comprometidas durante ejercicios de red team

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) publicó el 25 de agosto de 2026 las conclusiones de dos evaluaciones simultáneas de red team realizadas en organizaciones de infraestructuras críticas. El informe, identificado como AA26-237A y titulado «A Tale of Two SOCs», empleó técnicas similares contra una entidad del sector de servicios y equipamientos gubernamentales y otra del sector de sistemas de agua y aguas residuales.

En ambos ejercicios, los atacantes simulados lograron comprometer el dominio y alcanzar sistemas empresariales sensibles y recursos en la nube. Sin embargo, la respuesta defensiva fue muy diferente. La organización A no detectó la actividad del equipo de CISA, mientras que la organización B identificó los primeros pasos del ataque y aisló los equipos afectados con rapidez.

En la organización A, el acceso inicial se produjo mediante una aplicación web que utilizaba credenciales predeterminadas en varias cuentas integradas. Esto permitió enviar correos de phishing desde una dirección interna y comprometer cuatro estaciones de trabajo. Posteriormente, el equipo de red team elevó privilegios aprovechando la cuota predeterminada de cuentas de máquina de Active Directory y una plantilla de Active Directory Certificate Services (AD CS) configurada de forma insegura.

La plantilla permitía solicitar certificados para cualquier usuario, una condición asociada a la técnica ESC1. Esta configuración proporcionó una vía adicional para ampliar el control sobre el entorno de identidad. CISA también encontró credenciales almacenadas en texto claro, incluidos archivos de configuración de bases de datos descifrados y claves estáticas de acceso a Amazon Web Services configuradas para no caducar.

En el entorno cloud, el equipo sustrajo un Primary Refresh Token y abusó de aplicaciones de Entra ID con permisos elevados. Esas aplicaciones permitieron leer el correo del equipo de seguridad y comprobar si los defensores habían identificado la intrusión. Entre los principales factores de riesgo señalados por CISA figuran también la ausencia de revocación de tokens y aplicaciones con permisos suficientes para consultar el correo de todos los usuarios.

La organización A no detectó ninguna de estas acciones. Según CISA, miles de alertas falsas generadas por la actividad empresarial normal, muchas clasificadas con una severidad elevada, ocultaron las señales relacionadas con el ejercicio. Además, la entidad operaba varios centros de operaciones de seguridad y herramientas de protección de endpoints sin una visibilidad compartida. Los analistas carecían de procedimientos claros de escalado y tenían autoridad limitada para intervenir.

En un caso concreto, una alerta real vinculada con la actividad del equipo en un servidor de System Center Configuration Manager fue descartada como falso positivo porque los defensores no pudieron identificar al propietario del sistema. CISA relacionó el compromiso con una combinación de controles técnicos débiles y deficiencias en los procesos de supervisión y respuesta.

La organización B obtuvo un resultado distinto. Su SOC detectó las cargas iniciales de phishing cuando se ejecutaron y aisló las estaciones comprometidas entre dos y veinte minutos. La medida interrumpió las comunicaciones de mando y control antes de que la intrusión pudiera extenderse. Al quedar cortado el acceso inicial, CISA recurrió a un modelo de asunción de compromiso y ejecutó una carga de red team en un equipo designado sin privilegios para reproducir el acceso que habría obtenido en condiciones normales.

Desde ese punto, los evaluadores encontraron debilidades similares a las de la organización A. Entre ellas había credenciales en texto claro de una cuenta de servicio de dominio dentro de un archivo de configuración de SCCM. La cuenta tenía permisos sobre un controlador de dominio, lo que permitió ejecutar un ataque DCSync y recuperar el secreto de la cuenta krbtgt.

El equipo también alcanzó un bastión situado en la zona desmilitarizada de tecnología operativa de la organización B. Sin embargo, el sistema bloqueaba las conexiones salientes a Internet, por lo que no fue posible establecer un canal de mando y control. CISA no accedió a los sistemas de tecnología operativa.

La agencia atribuyó la diferencia entre ambos resultados principalmente a las personas, los procesos y los procedimientos que respaldaban las herramientas de seguridad, y no a las capacidades de las herramientas por sí solas. El ejercicio pone de relieve el riesgo de mantener credenciales predeterminadas, plantillas AD CS permisivas, secretos legibles, claves cloud sin caducidad y permisos excesivos en plataformas de identidad.

Fuente: The Hacker News.