Dirigido a:

Este training va dirigido a pentesters con experiencia que quieren adoptar metodología y tooling de red team; profesionales de seguridad ofensiva que trabajan con entornos Windows/AD y quieren profundizar en post-explotación; y consultores de seguridad que necesitan incorporar C2 frameworks, lateral movement y reporting de adversary emulation a su práctica.

Conocimientos previos

• Manejo de herramientas básicas de pentesting — Nmap, Netcat, Metasploit o equivalentes
• Administración de sistemas Windows y Linux: permisos, servicios, registro, línea de comandos
• Protocolos y redes a nivel conceptual: TCP/IP, SMB, Kerberos, LDAP
• Familiaridad con Active Directory: usuarios, grupos y GPOs — no se requiere experiencia de explotación previa

Requerimientos técnicos

• Infraestructura de laboratorio
• Entorno cloud preaprovisionado.
• Pod aislado por participante.
• Windows Workstation + Domain Controller.
• Servidor Linux de ataque.
• C2 Mythic dedicado.

Requerimientos del participante

• Laptop.
• VPN.
• Kali Linux.
• VMware/VirtualBox.
• Terminal Linux.
• Usuario sin privilegios root

Material provisto

• Guías digitales.
• Slides.
• Acceso VPN.
• Template de reporte Red Team.

 Agenda:

DÍA 1 · Ganar y mantener acceso

Módulo 1 · Red Team: metodología y entorno

• Diferencias operacionales entre pentesting y red teaming.
• Fases de un engagement.
• OPSEC desde el primer acceso: qué genera ruido y cómo pensarlo antes de actuar.
• Setup y verificación del entorno de laboratorio.
• Laboratorio práctico: conexión al entorno, validación de la topología e identificación de objetivos del engagement.

Módulo 2 · C2: operando con Mythic

• Arquitectura de Command & Control.
• Despliegue y hardening básico de Mythic.
• Configuración de listeners y perfiles de callback.
• Gestión de implantes activos.
• Laboratorio práctico: despliegue de Mythic, establecimiento del primer callback y análisis del tráfico generado.

Módulo 3 · Acceso inicial y evasión

• Payloads y mecanismos de staging.
• Técnicas de entrega e ingeniería social.
• Evasión de antivirus y conceptos básicos de bypass de EDR.
• Laboratorio práctico: generación, entrega y ajuste de payloads frente a mecanismos de detección.

Módulo 4 · Post-explotación y conciencia situacional

• Enumeración del sistema comprometido.
• Usuarios, procesos, red, shares y configuraciones críticas.
• Priorización de acciones para reducir ruido operacional.
• Laboratorio práctico: reconocimiento del entorno y construcción del mapa inicial de ataque.

Módulo 5 · Persistencia

• Persistencia mediante tareas programadas, registro, servicios y DLL hijacking.
• Comparación entre mecanismos de persistencia y su detección.
• Laboratorio práctico: implementación y validación de múltiples mecanismos de persistencia.

DÍA 2 · Escalar, mover y reportar

Módulo 6 · Escalada de privilegios

• Misconfiguraciones comunes en Windows.
• Token impersonation.
• DLL hijacking.
• Enumeración manual y automatizada.
• Laboratorio práctico: escalada desde usuario estándar hasta SYSTEM.

Módulo 7 · Acceso a credenciales

• Extracción de credenciales desde memoria.
• Kerberoasting y AS-REP Roasting.
• Credenciales almacenadas en el sistema y navegadores.
• Laboratorio práctico: obtención y priorización de credenciales para movimiento lateral.

Módulo 8 · Enumeración de Active Directory

• BloodHound.
• Enumeración de ACLs y delegaciones.
• Identificación de rutas hacia Domain Admin.
• Laboratorio práctico: análisis del dominio y construcción de la ruta de ataque.

Módulo 9 · Movimiento lateral

• Pass-the-Hash.
• Pass-the-Ticket.
• Over-Pass-the-Hash.
• WMI, PSRemoting y SMB.
• Laboratorio práctico: movimiento lateral y evaluación de la telemetría generada.

Módulo 10 · Pivoting y alcance de red

• Redes segmentadas.
• Proxies SOCKS.
• Port forwarding.
• Encadenamiento de pivots.
• Laboratorio práctico: acceso a segmentos internos mediante pivoting.

Módulo 11 · Reporting de Red Team

• Narrativa del ataque.
• Hallazgos técnicos.
• Impacto de negocio.
• Mapeo a MITRE ATT&CK.
• Laboratorio práctico: elaboración de un reporte profesional de adversary emulation.

Módulo 12 · Cadena completa y siguientes pasos

• Revisión de la kill chain ejecutada.
• Principales brechas defensivas observadas.
• Certificaciones y caminos de especialización (CRTO, CRTE, OSEP).
• Recomendaciones para continuar la práctica en entornos avanzados.