Brute Ratel C4
Qué es
Es un framework comercial de red-teaming y simulación de ataques adversariales que debutó en diciembre de 2020. Está diseñado específicamente para evadir la detección por parte de soluciones EDR y antivirus. En septiembre de 2022, una versión pirata fue filtrada en el ciberespacio criminal, lo que permitió su adopción por actores de amenazas.
Qué hace una vez dentro
Permite la ejecución arbitraria de comandos para facilitar el movimiento lateral, la escalada de privilegios y la persistencia. El agente se comunica con servidores remotos a través de canales cifrados personalizados usando DNS sobre HTTPS, HTTP, HTTPS, SMB y TCP. Soporta la captura de credenciales, la transferencia de archivos, la ejecución de comandos de shell, el escaneo de puertos, la captura de capturas de pantalla y el registro de pulsaciones de teclado.
A quién ataca
Ataca sistemas Windows.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Ejecución | Windows Management Instrumentation | T1047 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Native API | T1106 |
| Ejecución | Malicious File | T1204.002 |
| Ejecución | Service Execution | T1569.002 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Dynamic API Resolution | T1027.007 |
| Sigilo | Match Legitimate Resource Name or Location | T1036.005 |
| Sigilo | Masquerade File Type | T1036.008 |
| Sigilo | Portable Executable Injection | T1055.002 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Time Based Checks | T1497.003 |
| Sigilo | DLL | T1574.001 |
| Sigilo | Reflective Code Loading | T1620 |
| Debilitamiento de defensas | Disable or Modify Tools | T1685 |
| Acceso a credenciales | Kerberoasting | T1558.003 |
| Descubrimiento | Network Service Discovery | T1046 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | Domain Groups | T1069.002 |
| Descubrimiento | Domain Account | T1087.002 |
| Descubrimiento | Domain Trust Discovery | T1482 |
| Descubrimiento | Security Software Discovery | T1518.001 |
| Movimiento lateral | Remote Services | T1021 |
| Movimiento lateral | SMB/Windows Admin Shares | T1021.002 |
| Movimiento lateral | Windows Remote Management | T1021.006 |
| Recolección | Data from Local System | T1005 |
| Recolección | Screen Capture | T1113 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | DNS | T1071.004 |
| Comando y control | Non-Application Layer Protocol | T1095 |
| Comando y control | Web Service | T1102 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Protocol Tunneling | T1572 |
Fuente: MITRE ATT&CK v20 (S1063).
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 1 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 10-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
← Todo el catálogo de armamento