Descripción de la Tecnica
La técnica
System Owner/User Discovery (T1033 en MITRE ATT&CK) es un patrón de ataque que permite a los adversarios identificar usuarios o propietarios de sistemas. Este proceso puede incluir la recuperación de nombres de cuentas, la detección de sesiones activas o el análisis de patrones de uso de una infraestructura. La información recopilada suele ser fundamental para la fase de
discovery en ataques cibernéticos, ya que los detalles de usuarios son comunes y visibles en sistemas operativos y redes.
¿Cómo Funciona?
Los atacantes utilizan múltiples métodos para identificar usuarios o propietarios de un sistema:
-
Recuperación de credenciales: Herramientas como
OS Credential Dumping (T1003) permiten extraer cuentas activas.
-
Análisis de logs: Identificación de patrones de acceso o sesiones abiertas en registros de sistemas.
-
Recolección de datos: Uso de técnicas como
system information gathering para obtener detalles de usuarios, permisos o roles.
Esta técnica está vinculada al
discovery (T1033), que implica la identificación de activos dentro de una red.
Actores que la Utilizan
No se especifican actores concretos en el contexto proporcionado. Sin embargo, este tipo de técnica es común en ataques de
compromise y
privilege escalation, donde los adversarios buscan aprovechar vulnerabilidades relacionadas con usuarios o permisos.
Detección
La detección requiere monitorear actividades anómalas:
- Sesiones de usuario no autorizadas.
- Recuperación de credenciales en sistemas no seguros.
- Anomalías en registros de acceso o logs de sistema.
Los sistemas con controles de acceso estrictos y auditoría activa son más resilientes a este tipo de ataques.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación
- Implementar controles de acceso basados en roles (
role-based access control).
- Monitorear activamente sesiones y credenciales.
- Utilizar herramientas de detección de comportamiento anómalo (MBE) para identificar patrones de
discovery.
- Limitar el uso de técnicas como
credential dumping en entornos críticos.