El movimiento lateral es una técnica empleada por los ciberdelincuentes para navegar dentro de una red o sistema previamente comprometido, avanzando de forma discreta entre distintos equipos.
Este comportamiento les permite permanecer ocultos durante largos periodos y llevar a cabo acciones maliciosas sin ser detectados. Para lograrlo, los atacantes necesitan primero un punto de acceso inicial, que suele producirse mediante la explotación de vulnerabilidades, campañas de phishing o técnicas de ingeniería social. Una vez dentro, comienzan a analizar el entorno para recopilar información relevante e identificar activos de alto valor, como datos sensibles, propiedad intelectual, información de clientes o registros financieros. Paralelamente, buscan oportunidades para escalar privilegios y acceder a sistemas cada vez más críticos, como servidores, bases de datos o controles administrativos.
El objetivo final es mantener una presencia persistente en la red, de modo que puedan continuar extrayendo información o lanzar nuevos ataques incluso si el acceso inicial ha sido detectado o bloqueado. Para ello, suelen implantar puertas traseras, desplegar malware con capacidad de persistencia o modificar configuraciones que les permitan evadir los mecanismos de seguridad existentes.
En este tipo de ataques, los vectores de entrada más habituales incluyen credenciales débiles o comprometidas, sistemas sin parches de seguridad, configuraciones incorrectas, técnicas de ingeniería social y, en algunos casos, amenazas internas.
Comprender cómo operan estas amenazas resulta clave para proteger los activos críticos y diseñar defensas eficaces, especialmente en un contexto en el que las técnicas de movimiento lateral son cada vez más sofisticadas.
Según la matriz MITRE ATT&CK, existen nueve técnicas principales asociadas a este tipo de ataques:
- Exploitation of Remote Services: obtención de acceso no autorizado a sistemas internos mediante la explotación de errores en servicios, aplicaciones o sistemas operativos para ejecutar código controlado por el atacante.
- Internal Spearphishing: compromiso de usuarios internos a partir de una cuenta legítima previamente comprometida, con el objetivo de acceder a información adicional o a otros sistemas.
- Lateral Tool Transfer: movimiento de herramientas o archivos maliciosos entre sistemas dentro de la red.
- Remote Service Session Hijacking: secuestro de sesiones activas en servicios remotos para desplazarse lateralmente.
- Remote Services: uso de cuentas válidas para conectarse a servicios de acceso remoto como Telnet, SSH o VNC.
- Replication Through Removable Media: propagación mediante medios extraíbles, alterando archivos legítimos o disfrazando malware para inducir a su ejecución.
- Software Deployment Tools: utilización de herramientas de despliegue de software para ejecutar comandos y moverse por la red.
- Shared Content: distribución de cargas maliciosas a través de recursos compartidos, como unidades de red o repositorios internos.
- Alternate Authentication Material: uso de credenciales alternativas, como hashes de contraseñas, tickets Kerberos o tokens de acceso a aplicaciones.
