Sliver
Qué es
Es un framework de comando y control de código abierto y multiplataforma escrito en Golang. Los atacantes lo utilizan para generar implantes y gestionar conexiones seguras desde un servidor central.
Qué hace una vez dentro
Permite a los operadores gestionar múltiples conexiones simultáneamente desde un servidor central. Incluye un gestor de paquetes llamado armory para descargar y desplegar herramientas adicionales en el sistema comprometido.
A quién ataca
Opera en plataformas Windows, Linux y macOS.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Ejecución | PowerShell | T1059.001 |
| Escalada de privilegios | Bypass User Account Control | T1548.002 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Compile After Delivery | T1027.004 |
| Sigilo | Encrypted/Encoded File | T1027.013 |
| Sigilo | Process Injection | T1055 |
| Sigilo | Access Token Manipulation | T1134 |
| Acceso a credenciales | LSASS Memory | T1003.001 |
| Acceso a credenciales | Golden Ticket | T1558.001 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Descubrimiento | System Network Connections Discovery | T1049 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Recolección | Screen Capture | T1113 |
| Comando y control | Steganography | T1001.002 |
| Comando y control | Application Layer Protocol | T1071 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | DNS | T1071.004 |
| Comando y control | Internal Proxy | T1090.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Standard Encoding | T1132.001 |
| Comando y control | Symmetric Cryptography | T1573.001 |
| Comando y control | Asymmetric Cryptography | T1573.002 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: MITRE ATT&CK v20 (S0633).
Grupos que la usan
Uso documentado por MITRE ATT&CK, o por Malpedia confirmado con AlienVault OTX. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 68 |
| Dominios | 0 |
| URLs | 8 |
| Hashes de archivos | 13 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
- MITRE ATT&CK S0633: Sliver
- Malpedia: win.sliver
- AlienVault OTX: Sliver - IOCs paquetes.xlsx 2026 (2026-10-16)
- AlienVault OTX: IOC - Sliver C2 Windows Post-Exploitation Staging, 193.233.202.17 (2026-10-09)
- AlienVault OTX: Hackers Disable Endpoint Protection and Deploy Sliver Across Compromised Windows Domain (2026-10-08)
← Todo el catálogo de armamento