Movimiento lateral: qué es y cómo se produce

Cuando un atacante consigue entrar en una red (por un correo de phishing, una contraseña filtrada, un fallo sin corregir o cualquier otro medio), ese primer dispositivo o sistema casi nunca es lo que busca. Es solo la puerta de entrada. A partir de ahí empieza el movimiento lateral: el proceso mediante el cual el atacante se desplaza de un equipo a otro dentro de la red hasta llegar a lo que realmente le interesa. Y ese objetivo final puede ser muy distinto según el ataque: los servidores centrales o las bases de datos, sí, pero también las cuentas de administración de toda la organización,  los sistemas de control industrial (SCADA/OT), o simplemente cualquier equipo desde el que lanzar el cifrado masivo de un ransomware.

Entender bien esta fase (no como una idea vaga de “el atacante se mueve por dentro”, sino como una secuencia de pasos concretos) es lo que marca la diferencia entre reaccionar cuando ya es tarde y tener una red diseñada para frenarlo desde el principio. En este artículo explicamos, de forma sencilla, cómo funciona el movimiento lateral, con ejemplos reales y las medidas que mejor lo frenan.

Qué es el movimiento lateral y en qué momento del ataque aparece

El marco de referencia internacional MITRE ATT&CK recoge el movimiento lateral como una de sus tácticas principales (identificada como TA0008) y lo define como el conjunto de técnicas que un atacante usa para entrar y tomar el control de otros ordenadores dentro de la misma red, ya que llegar hasta el objetivo final suele exigir explorar la red y saltar de un sistema a otro hasta alcanzarlo.

Para llegar a este punto, el atacante ya ha pasado antes por varias fases: ha conseguido entrar, ha ejecutado algún programa, se ha asegurado de no perder el acceso y ha reunido credenciales (usuarios y contraseñas) que son las que le permiten autenticarse en los siguientes equipos a los que quiere acceder.

Un dato llamativo: aunque es una de las fases que más daño acaba causando, es también una de las que menos técnicas distintas reúne dentro del catálogo de MITRE ATT&CK, lo cual resulta engañoso, porque ese tamaño reducido no refleja el peso real que tiene en el resultado final del ataque. Desde el caso SolarWinds hasta el ransomware más habitual, prácticamente todos los ciberataques graves dependen de esta fase para pasar de un ordenador cualquiera a los sistemas que de verdad importan.

Y ahí es donde conviene no simplificar demasiado: no todos los atacantes buscan lo mismo una vez dentro. Algunos van directos a robar información (propiedad intelectual, datos de clientes, información clasificada); otros se instalan de forma silenciosa durante meses para espiar sin ser detectados; otros despliegan ransomware en el mayor número de equipos posible para maximizar la presión de un secuestro de datos; y en sectores como energía, agua, industria o defensa, el objetivo puede ser llegar hasta los sistemas de control de procesos físicos, lo que se conoce como entornos OT o SCADA, con el fin de manipular o interrumpir una planta o una infraestructura crítica. El movimiento lateral es el mismo mecanismo en todos los casos; lo que cambia es a dónde lleva.

Dos ejemplos ayudan a verlo con perspectiva. WannaCry, en 2017, se propagó por miles de redes en horas aprovechando un fallo de un protocolo de red interno, sin que hiciera falta ni un solo clic adicional de la víctima. NotPetya, ese mismo año, combinó el robo de credenciales con herramientas legítimas de administración remota para saltar de un ordenador a otro dentro de redes corporativas enteras, y acabó paralizando durante días la operativa de multinacionales de logística e industria. En ambos casos, lo que hizo el daño masivo no fue el primer acceso, sino la rapidez con la que el ataque se movió una vez dentro.

Cómo se produce el movimiento lateral, paso a paso

1. El atacante explora la red desde dentro

Nada más entrar, el atacante necesita orientarse: qué ordenadores hay, cómo se relacionan entre sí, dónde están los sistemas más importantes y qué usuarios tienen más permisos. Para ello suele usar las mismas herramientas que utiliza cualquier administrador de sistemas, precisamente para pasar desapercibido entre la actividad normal de la empresa.

2. Consigue contraseñas y credenciales de otros usuarios

Con el terreno ya mapeado, el siguiente paso es hacerse con credenciales que le abran otras puertas: robar contraseñas guardadas en la memoria del ordenador, reutilizar una contraseña “cifrada” sin descifrarla para hacerse pasar por otro usuario, o incluso falsificar un “pase” de acceso interno del sistema de identidades para autenticarse como un usuario con muchos privilegios, sin conocer ninguna contraseña real.

3. Se hace pasar por un usuario legítimo para saltar a otros equipos

Esta es la parte central del movimiento lateral. En lugar de instalar un virus que pueda detectarse fácilmente, el atacante se conecta a otros equipos usando credenciales robadas pero válidas, a través de herramientas que ya existen en cualquier empresa y que los propios técnicos usan a diario:

• Escritorio remoto (RDP) – Muy habitual en ataques de ransomware para saltar de un servidor a otro una vez dentro, como hicieron los responsables del ransomware Conti.
• Carpetas compartidas de red (SMB) – Sirven para copiar programas maliciosos de un ordenador a otro, tal y como hizo el virus TrickBot para propagarse.
• SSH y otras herramientas de administración remota – Igual de habituales, igual de aprovechables cuando el atacante ya tiene una contraseña válida.
• Ejecución remota de comandos y tareas programadas – Permiten lanzar un programa en otro ordenador sin necesidad de sentarse físicamente delante de él, algo que cualquier equipo de IT usa a diario para mantenimiento.

Esto es justo lo que hace tan difícil detectar esta fase: el atacante se conecta con credenciales robadas pero reales, así que, a simple vista, su actividad se parece muchísimo a la de un técnico haciendo su trabajo, por lo que detectarlo exige vigilar los patrones de tráfico interno, las conexiones inusuales y los inicios de sesión sospechosos, no solo lo que entra desde fuera.

4. Repite el proceso hasta llegar al objetivo

Una vez dentro del siguiente equipo, el atacante suele copiar más herramientas y volver a empezar: explorar, conseguir contraseñas, saltar. Repite este ciclo tantas veces como haga falta. En muchos ataques de ransomware bien documentados, el orden es siempre parecido: reconocimiento, primer acceso, exploración de la infraestructura, movimiento lateral, más permisos y, por último, el ataque final (por ejemplo, el cifrado de todos los archivos o, en entornos industriales, la interrupción de un proceso físico).

Un concepto que ayuda a dimensionar la urgencia es el “tiempo de ruptura”: el intervalo entre el primer acceso del atacante y su primer salto lateral. En muchas intrusiones actuales se mide en minutos, no en horas, lo que deja poco margen si la detección depende solo de una revisión manual.

Por qué cuesta tanto detectarlo

Lo que tienen en común todas estas técnicas es que usan herramientas legítimas que ya existen en cualquier empresa. No hay, casi nunca, un archivo con virus que un antivirus pueda reconocer: hay una conexión de escritorio remoto, un acceso a una carpeta compartida o un comando de administración que, sobre el papel, parece una tarea de mantenimiento cualquiera. Detectarlo de verdad exige cruzar información entre varios puntos —los ordenadores, la red y los inicios de sesión— y no fijarse solo en una de esas fuentes, precisamente porque estas técnicas están pensadas para camuflarse entre el trabajo diario del equipo de sistemas.

Cómo se reduce el riesgo

Organismos de referencia como el Centro Criptológico Nacional, a través de sus guías CCN-STIC, sitúan el control del movimiento lateral como un objetivo central a la hora de diseñar redes seguras, y consideran que detectar este tipo de comportamiento es una de las funciones clave que debe cubrir cualquier sistema de vigilancia dentro de una organización.

En la práctica, lo que más reduce el riesgo es:

• Dividir la red en segmentos, para que un ordenador infectado no tenga vía libre hacia el resto. En entornos industriales, esto significa además separar de forma estricta la red de oficina (IT) de la red de planta (OT), algo que muchos incidentes graves en infraestructuras críticas han demostrado que sigue sin hacerse correctamente.
• Dar a cada usuario solo los permisos que necesita, ni uno más.
• Exigir doble factor de autenticación en los accesos de administración, para que una contraseña robada no sea suficiente por sí sola.
• Gestionar los accesos con privilegios de forma centralizada (PAM), evitando que las contraseñas de administrador estén expuestas en los propios ordenadores de los usuarios.
• Vigilar de forma continua lo que pasa dentro de la red, no solo lo que intenta entrar desde fuera.
• No dar por hecho que un usuario es de confianza solo por estar ya dentro de la red (el principio detrás del llamado “Zero Trust”), verificando cada acceso, venga de donde venga.

Este último bloque de medidas es precisamente donde entornos de trabajo remoto blindado como Endurance, de Cosmikal, aportan una capa extra de protección: al integrar en una misma plataforma la gestión de accesos privilegiados (PAM), los escritorios virtuales (VDI) y la gestión de identidades (IAM), las contraseñas de administrador nunca llegan a estar expuestas en el puesto del usuario, y cada sesión queda aislada y registrada. Esto reduce mucho el margen que tendría un atacante para saltar de un ordenador a otro tras un primer fallo de seguridad, tanto en entornos de oficina como en el acceso remoto a sistemas industriales sensibles.

Fuentes

• MITRE ATT&CK®, Lateral Movement, Tactic TA0008 — attack.mitre.org/tactics/TA0008
• CCN-CERT, BP/01 Principios y recomendaciones básicas en ciberseguridad, Centro Criptológico Nacional
• CCN-CERT, XIV Jornadas STIC — Movimientos laterales en Ransomware, Centro Criptológico Nacional
• SenseOn, MITRE ATT&CK Lateral Movement: Detection and Response
• StartupDefense, Lateral Movement (TA0008)