Otra complicación es que puede configurar cuentas de prueba, cuentas de servicio para acceso no humano, API, cuentas para 3^Rd partes para acceder a sus sistemas (por ejemplo, un servicio de asistencia subcontratado) o tener equipos con credenciales codificadas.

Sabemos que las personas usan las credenciales de su organización con servicios en línea no relacionados, y la mayoría usa una dirección de correo electrónico en lugar del nombre de usuario, lo que amplía la exposición a amenazas. La reutilización de contraseñas es común, por lo que una vez que se obtiene una, proporciona la llave de muchas otras puertas. La pandemia de COVID-19 vio a las organizaciones pivotar rápidamente para permitir el acceso remoto para todos, exponiendo aún más la superficie de ataque al uso no autorizado de redes privadas virtuales (VPN) y herramientas de acceso remoto. 

Antes de pasar a los métodos de escalamiento de privilegios, es importante tener en cuenta que existen otros métodos de acceso que no requieren credenciales. Los exploits o las contraseñas predeterminadas en concentradores VPN, Exchange, firewalls / enrutadores, servidores web e inyección SQL se han utilizado para obtener un punto de apoyo. Las descargas drive-by-downloads también se pueden usar para establecer una puerta trasera. Una vez dentro, las cuentas de usuario básicas todavía tienen acceso suficiente para llevar a cabo diversas técnicas de reconocimiento y trazar una forma de pivotar hacia un acceso más privilegiado o crear cuentas para mantener el acceso.

A continuación, y solo si es necesario, el actor de amenazas podría pasar a instalar y / o usar 'Programas potencialmente no deseados'. Las mencionadas PSExec y PSKill son herramientas oficiales de administración de Microsoft, pero tienen muchos otros usos. IOBit, GMER, Process Hacker, AutoIT, Nircmd, escáneres de puertos y rastreadores de paquetes se han utilizado en infracciones en las que hemos trabajado. El objetivo de estas herramientas es paralizar cualquier solución de seguridad de punto final, para que el actor de amenazas pueda pasar al siguiente paso donde use herramientas que probablemente levantarían la bandera roja.

Las herramientas populares para encontrar cuentas con privilegios más altos incluyen Mimikatz, IcedID, PowerSploit y Cobalt Strike. Trickbot también era un viejo favorito. Contienen habilidades sofisticadas para capturar, interpretar, exportar y manipular las mismas piezas de información que las redes utilizan para autenticar a los usuarios (por ejemplo, Kerberos). Si bien los datos están encriptados hasta cierto punto, esto ha demostrado ser solo un obstáculo de velocidad inconveniente para los atacantes expertos. El token cifrado que representa la cuenta válida a menudo se puede pasar y aceptar a través de la red, conocido como técnicas pass-the-hash y pass-the-ticket. Se utilizan vastas tablas de contraseñas y cómo se verían sus versiones cifradas para hacer coincidir rápidamente una contraseña cifrada con la versión de texto sin cifrar. Las herramientas de registro de teclas se pueden usar para capturar las pulsaciones del teclado en un dispositivo la próxima vez que alguien inicie sesión. Se han encontrado ciertas vulnerabilidades que permiten el acceso a las credenciales, incluso sin ningún derecho de administración, como HiveNightmare/SeriousSam y PrintNightmare. Y si todo eso no fuera lo suficientemente malo, hay kits de herramientas fácilmente disponibles como LaZagne que lo hacen todo por usted, incluso recuperando contraseñas almacenadas en navegadores, software de mensajería instantánea, bases de datos, juegos, correo electrónico y WiFi.