Cuando un ciberatacante logra acceso a una red corporativa, su siguiente objetivo no suele ser simplemente mantener su posición inicial. Para maximizar el impacto y el acceso a recursos críticos, los atacantes utilizan técnicas de movimiento lateral. Estas tácticas les permiten navegar por los sistemas, expandir su acceso y escalar privilegios, todo mientras evitan la detección.
¿Qué es el Movimiento Lateral?
El movimiento lateral es una técnica que permite a un atacante desplazarse dentro de una red después de comprometer un sistema inicial. A través de esta estrategia, los atacantes acceden a otros dispositivos y recursos de la red con el objetivo de escalar privilegios o localizar información valiosa.
Al hacerlo, evitan limitaciones o barreras en el sistema y minimizan su exposición al avanzar de manera furtiva por la infraestructura comprometida.
Contexto MITRE ATT&CK: El movimiento lateral corresponde a la táctica TA0008 en el framework MITRE ATT&CK, que documenta múltiples técnicas, cada una con sus propias subtécnicas y procedimientos de mitigación.
Anatomía de un Ataque de Movimiento Lateral
Un atacante rara vez salta directo a su objetivo. Avanza por etapas: entra por un punto débil, roba credenciales, salta de un equipo a otro y, finalmente, busca el control del dominio. Entender esta cadena es el primer paso para cortarla.
// acceso inicial → robo de credenciales → movimiento lateral → dominio / admin
Cada eslabón de esta cadena es también una oportunidad de detección: cuanto antes la red note el salto, menor es el alcance del incidente. El objetivo de un buen programa defensivo no es solo evitar la entrada, sino hacer que cada movimiento interno sea ruidoso y visible.
Principales Técnicas de Movimiento Lateral
Estas son las técnicas que vemos con más frecuencia en ejercicios de Red Team y en incidentes reales. Para cada una explicamos qué es y cómo se detecta.
El atacante roba el hash de una contraseña en lugar de la clave en texto plano y lo usa para autenticarse en otros sistemas sin conocer la contraseña real. Es especialmente efectivo en entornos Windows donde los hashes se usan para autenticación NTLM: con el hash, suplanta al usuario sin descifrar nada.
Vigilando autenticaciones NTLM anómalas y correlacionando inicios de sesión de un mismo usuario desde equipos o ubicaciones inusuales. El MFA reduce drásticamente su efectividad.
Similar a Pass-the-Hash, pero explota el protocolo Kerberos: el atacante roba un ticket de Kerberos de un sistema comprometido y lo reutiliza para autenticarse en otros equipos de la red. Como Kerberos es un protocolo común en entornos empresariales, el movimiento resulta difícil de distinguir del tráfico legítimo.
Monitoreando el uso anómalo de tickets Kerberos y accesos que no corresponden al patrón habitual del usuario. La segmentación de red y el monitoreo SIEM ayudan a acotar su alcance.
PsExec, herramienta de administración remota de Microsoft, permite ejecutar comandos en otros sistemas de la red de forma remota. Los atacantes la usan para correr scripts y comandos en máquinas conectadas, moviéndose sin dejar rastros obvios. PowerShell Remoting y WMIC permiten manipular recursos remotos de forma parecida.
Restringiendo y monitoreando las herramientas de administración remota (PsExec, PowerShell, WMIC) y alertando sobre su ejecución fuera de ventanas y usuarios autorizados.
El RDP es una herramienta de acceso remoto ampliamente usada en redes corporativas. Un atacante con credenciales válidas puede usar RDP para acceder a otros dispositivos, ejecutar comandos y tomar control del entorno — aunque corre riesgo de ser detectado si no toma precauciones adicionales.
Vigilando accesos remotos inusuales, limitando quién puede iniciar sesiones RDP y aplicando MFA a las sesiones remotas para cortar el uso de credenciales robadas.
Los atacantes realizan "credential dumping" para obtener más credenciales almacenadas en el sistema comprometido. Herramientas como Mimikatz permiten extraer credenciales de la memoria o de archivos, que luego sirven para moverse lateralmente y escalar privilegios hacia sistemas más protegidos.
Monitoreando accesos a la memoria de los procesos de autenticación y la ejecución de herramientas conocidas de volcado de credenciales en los endpoints.
Tras comprometer el sistema inicial, los atacantes descubren vulnerabilidades dentro de la red que pueden explotar: software sin actualizar, configuraciones incorrectas o permisos mal aplicados. Al explotarlas, avanzan a otros sistemas sin depender de credenciales robadas.
Con análisis regular de vulnerabilidades internas y una gestión disciplinada de parches y configuraciones que vaya cerrando los caminos disponibles para el atacante.
El movimiento lateral es el momento exacto en que la intrusión de un solo equipo se convierte en una brecha de toda la organización.
— Equipo haak.Cómo Detectarlo y Prevenirlo
Ninguna técnica de movimiento lateral es invisible si la red está preparada para verla. Estas son las medidas que más reducen el riesgo — y que validamos en cada ejercicio de Red Team.
Consejo haak.: Un Red Team exercise bien ejecutado es la mejor forma de descubrir los caminos de movimiento lateral disponibles en tu red antes de que lo haga un atacante real. Nuestro equipo simula estas técnicas en entornos controlados con evidencia documentada.
// ¿Te interesa proteger tu empresa?
Conoce todos nuestros servicios de ciberseguridad en México: pentesting, SOC 24/7, red team y más.
Ver servicios de ciberseguridad →