Huntress monitoreó una campaña de Microsoft 365 de 10 semanas que combinó retransmisiones AiTM con reutilización de token de autenticación, dispositivos Entra fraudulentos, manipulación de MFA y reglas ocultas de bandeja de entrada.

Un paquete cargado lateralmente convierte un binario firmado por Microsoft en una herramienta de robo de tokens de OAuth. Sin dominio de phishing, sin interfaz falsificada, sin navegador. Así es como se detecta.

Una cuenta del AD RMS Service Group exporta la clave privada del Server Licensor Certificate de AD RMS. Esa clave de 1172 bytes descifra, sin conexión, cada documento que la implementación haya protegido, y sigue haciéndolo incluso después de reconstruir la implementación.

Active Directory Rights Management Services todavía se incluye en Windows Server 2025, años después de que Microsoft comenzara a dirigir a los clientes hacia la cloud, y sigue totalmente soportado on-premises. La parte 1 describe el modelo de confianza de AD RMS (el Server Licensor Certificate, el flujo de licencias, la superficie de protocolo SOAP) y muestra cómo descubrir una implementación de RMS, identificar un archivo protegido por AD RMS y rastrear el camino hasta la clave privada de ese certificado.

ldapnomnom afirma que no deja registros de auditoría de Windows. Esta publicación muestra por qué el evento 1644 no detecta LDAP Ping y dónde los defensores aún pueden detectarlo.

El mismo primitivo de filtración de NTLM que se parchó en la herramienta Recortes existe en el manejador search: del Explorador de Windows. Sin CVE. Sin corrección. Si tu programa de parches depende de la cobertura de CVE, tienes un punto ciego.

Un dominio de Windows Server 2025 totalmente parchado es vulnerable a dMSA Ouroboros, una técnica de extracción de credenciales autosostenible que solo requiere permisos delegados estándar. Descubre cómo funciona, por qué falla la remediación y cómo detectarla.

Descubre un método para atribuir las consultas de Active Directory Web Services (ADWS), que normalmente parecen originarse en "localhost" en los registros del Evento 1644, a la verdadera dirección IP de origen del atacante. Esto se logra correlacionando el momento del evento de conexión de red entrante (Evento 5156), que contiene la dirección IP real de origen, con el Evento 1644 dentro de una ventana consistente de 60 a 80 ms.

La enumeración de AD mediante PowerShell evade la detección de red al usar ADWS (puerto 9389), registrando la consulta LDAP (Evento 1644) como localhost (::1). La detección de alta fidelidad requiere correlacionar el Evento 1644 con los eventos de conexión de ADWS por Operation ID para revelar el origen remoto y detectar volcados masivos de propiedades indicados por [all_with_list].

SOAPHound usa un patrón de filtro LDAP (!FALSE) que rompe la mayoría de las reglas de detección. La Parte 4 de nuestra serie de ingeniería de detección muestra exactamente cómo buscarlo antes de que los atacantes aprovechen el punto ciego.

SDFlags es un parámetro de LDAP que la mayoría de los defensores pasa por alto en sus registros. También es la forma en que los atacantes enumeran permisos mientras evaden la detección. La parte 3 de nuestra serie cubre lo que encontró Huntress.

La lógica de detección era sólida, las reglas estaban implementadas, y entonces un mensaje de Slack a las 2 a. m. reveló que las variaciones de espacio en blanco en los filtros LDAP estaban rompiendo todo. Lee la Parte 2 de nuestra serie de ingeniería de detección.

La brecha entre cómo luce el código del atacante y lo que realmente registra es donde fallan la mayoría de las detecciones. La Parte 1 empieza leyendo el propio código fuente del atacante.

El Diamond Ticket de Kerberos ha sido subestimado desde su prueba de concepto original. Huntress le da el análisis que merece y explica por qué los atacantes están comenzando a tomarlo en serio.

Una herramienta llamada 'defendnot' desactiva Windows Defender al registrar un antivirus falso mediante API no documentadas de Windows Security Center. Huntress explica la técnica y cómo detectarla.