SOC II
🛡️ Progreso en el SOC Analyst Path (HTB) – Fases Delivery y Exploitation de la Cyber Kill Chain
Continúo avanzando en el módulo Incident Handling Process dentro del SOC Analyst Path de Hack The Box Academy. Tras estudiar las fases iniciales del ciclo de ataque (Recon y Weaponize), hoy profundizo en dos etapas clave en las que el atacante pasa de la preparación a la ejecución: Delivery y Exploitation.
📨 3. Delivery – Entrega del exploit o payload
La fase de Delivery consiste en hacer llegar el exploit o el payload a la víctima. Es una etapa crítica porque marca el momento en el que el atacante intenta que su código malicioso llegue al sistema objetivo.
Métodos habituales de entrega
- Phishing por correo electrónico con adjuntos maliciosos.
- Enlaces a páginas web que contienen exploits o descargan payloads.
- Webs falsas que imitan servicios internos para robar credenciales.
- Ingeniería social por teléfono para convencer al usuario de ejecutar un archivo.
- Payloads alojados en webs controladas por el atacante que imitan sitios legítimos.
- Dispositivos físicos como USBs manipulados dejados deliberadamente para ser encontrados.
En la mayoría de los casos, el atacante busca que la víctima no tenga que hacer más que doble clic sobre un archivo: ejecutables, scripts (.bat, .cmd, .js, .vbs, .hta), documentos con macros, etc.
Esta fase es una de las más visibles para equipos defensivos, ya que los sistemas de correo, navegadores y EDR pueden detectar y bloquear parte de la actividad.
💥 4. Exploitation – Ejecución del payload
La fase de Exploitation marca el momento en el que el payload es ejecutado. Aquí es donde se activa el exploit o se ejecuta el código malicioso en el sistema objetivo, con el fin de obtener acceso o control.
Objetivos del atacante en esta fase
- Ejecutar código en el sistema por primera vez.
- Elevar privilegios o explotar vulnerabilidades.
- Preparar el entorno para la siguiente fase: instalación persistente.
- Abrir la puerta para comunicación externa (C2).
Es en esta etapa donde se materializa el primer “daño” técnico: ejecución de archivo, abuso de macro, explotación de vulnerabilidad, carga de script obfuscado, etc.
Para un SOC, esta es una de las fases más detectables gracias a:
- Alertas de seguridad del sistema operativo.
- Detecciones de EDR/AV.
- Eventos de ejecución de procesos sospechosos.
- Creación de archivos inusuales.
🧠 Conexión SOC – ¿Qué significa esto para un analista?
Estas dos fases representan el punto donde un ataque pasa de “preparación” a “acción”. Para un analista SOC, conocer Delivery y Exploitation significa saber:
- Qué vectores de ataque son más comunes.
- Qué señales deberían activar alertas en un SIEM.
- Qué artefactos se generan al ejecutar un payload.
- Qué comportamientos de usuario pueden desencadenar intrusiones.
Es la base para investigar correos sospechosos, adjuntos, macros, archivos ejecutados y actividades anómalas en endpoints.
📌 Próximos pasos
El siguiente avance del módulo cubrirá las fases Install, Command & Control (C2) y Action, completando así el ciclo de ataque.
Sigo documentando cada parte del proceso formativo, disponible en:
- Blog técnico: cibermuro.es
- Portfolio profesional: olinforomatico.org
- X/Twitter: @raduciber