APT Simulator

Importante: No descargues simplemente el repositorio como ZIP ni lo clones si no planeas desarrollar alguna prueba. Usa el paquete disponible en la versión, el cual contiene una versión empaquetada con archivos cifrados que no incluyen muestras ni herramientas en texto claro.

APT Simulator es un script de Windows Batch que utiliza un conjunto de herramientas y archivos de salida para hacer que un sistema parezca como si hubiera sido comprometido. A diferencia de otras herramientas de simulación de adversarios, APT Simulator está diseñado para que su aplicación sea lo más simple posible. No necesitas ejecutar un servidor web, una base de datos ni ningún agente en un conjunto de máquinas virtuales. Simplemente descarga el archivo preparado, extráelo y ejecuta el archivo Batch contenido como Administrador. Ejecutar APT Simulator toma menos de un minuto de tu tiempo.

Casos de Uso

1. POCs: Agentes de detección de endpoints / herramientas de evaluación de compromisos
2. Prueba la capacidad de detección de tu monitoreo de seguridad
3. Prueba la respuesta de tu SOC ante una amenaza que no sea EICAR o un escaneo de puertos
4. Prepara un entorno para clases de informática forense

Motivaciones

Los clientes probaron nuestros escáneres en un POC y nos enviaron una queja de que nuestros escáneres no reportaron programas que ellos habían instalado en sus sistemas de prueba. Habían instalado Nmap, dejado caer un PsExec.exe en la carpeta Descargas y colocado un virus de prueba EICAR en el Escritorio del usuario. Ese fue el momento en que decidí construir una herramienta que simule una amenaza real de manera más adecuada.

¿Por qué Batch?

• Porque es simple: cualquiera puede leerlo, modificarlo o ampliarlo
• Se ejecuta en cualquier sistema Windows sin requisitos previos
• Es lo más cercano a un atacante real trabajando en la línea de comandos

Enfoque

El enfoque de esta herramienta es simular la actividad del adversario, no el malware. Consulta la sección Soluciones Avanzadas para herramientas avanzadas que simulan la actividad del adversario y del malware.

Primeros Pasos

1. Descarga la última versión de la sección "release"
2. Extrae el paquete en un sistema de demostración (Contraseña: apt)
3. Inicia cmd.exe como Administrador
4. Navega a la carpeta del programa extraído y ejecuta APTSimulator.bat

Evitar la Detección Temprana

El script Batch extrae las herramientas y shells de un archivo 7z cifrado en tiempo de ejecución. No descargues el repositorio master usando el botón "download as ZIP". En su lugar, usa la versión oficial de la sección release.

Exclusión Antivirus

APT Simulator contiene un módulo llamado "AVExcluder" que intenta registrar el %APTDIR% utilizado como exclusión de AV en soluciones antivirus típicas. Como no tengo acceso a todos los productos de software antivirus del mercado, por favor reporta errores o agrega nuevas exclusiones como pull requests.

Ampliación de los Casos de Prueba

Desde la versión 0.4 es bastante fácil ampliar los conjuntos de pruebas añadiendo un único archivo .bat a una de las carpetas de categoría de conjuntos de pruebas.

Por ejemplo, si deseas escribir un caso de prueba simple para "escalada de privilegios" que use una herramienta llamada "privesc.exe", clona el repositorio y haz lo siguiente:

1. Agrega tu herramienta a la carpeta toolset
2. Escribe un nuevo script batch privesc-1.bat y agrégalo a la carpeta ./test-sets/privilege-escalation
3. Ejecuta build_pack.bat
4. Agrega tu caso de prueba a la tabla y a la sección de conjuntos de pruebas en el README.md
5. Crea un pull request

Extracción de Herramientas y Archivos

Si tu script incluye una herramienta, shell web, archivo auxiliar o de salida, colócalos en las carpetas ./toolset o ./workfiles. Ejecutar el script de compilación build_pack.bat los incluirá en los archivos cifrados enc-toolset.7z y enc-files.7z.

Extraer una Herramienta

"%ZIP%" e -p%PASS% %TOOLARCH% -aoa -o%APTDIR% toolset\tool.exe > NUL

Extraer un Archivo

"%ZIP%" e -p%PASS% %FILEARCH% -aoa -o%APTDIR% workfile\tool-output.txt > NUL

Detección

La siguiente tabla muestra los diferentes casos de prueba y los resultados de detección esperados.

• AV = Antivirus
• NIDS = Sistema de Detección de Intrusiones en Red
• EDR = Detección y Respuesta en Endpoints
• SM = Monitoreo de Seguridad
• CA = Evaluación de Compromisos

Caso de Prueba	AV	NIDS	EDR	SM	CA
Recopilar Archivos Locales					X
Conexiones C2	(X)	X	X	X
Caché DNS 1 (Inyección de Caché)	(X)	X		X	X
Agentes de Usuario Maliciosos (Malware, RATs)		X	X	X
Ncat Back Connect (Drop & Exec)	X		X	X	X
WMI Backdoor C2			X	X	X
Volcado de LSASS (con Procdump)			X	X	X
Mimikatz 1 (Drop & Exec)	X		X	X	X
WCE 1 (Entradas de registro de eventos)			X	X	X
Activar Cuenta Invitado como Admin			X	X	X
Archivo Falso del Sistema (Drop & Exec)			X	X	X
Archivos Hosts (Bloqueos de AV/Actualizaciones de Windows)	(X)		X		X
Dropper JS Ofuscado	(X)	X	X	X	X
Ofuscación (RAR con extensión JPG)					(X)
Descubrimiento con Nbtscan (Escaneo y Salida)		X	X	(X)	X
Actividad de Reconocimiento (Comandos Típicos)			X	X	X
PsExec (Drop & Exec)			X	X	X
Herramienta de Ejecución Remota (Drop)	(X)				X
At Job			X	X	X
Creación de Entrada en RUN Key			X	X	X
Creación de Tarea Programada			X	X	X
Puerta Trasera StickyKey			X		X
Persistencia UserInitMprLogonScript			(X)	X	X
Shells Web	X		(X)		X
WMI Backdoor			X		X

Actividad de Baliza Cobalt Strike

Ahora deberías poder encontrar eventos en tu solución de monitoreo de seguridad (SIEM, EDR, etc.) para las siguientes palabras clave:

Named Pipes

• MSSE-1337-server
• msagent_fedac123
• postex_ssh_fedac123
• 334485 (usado en la actividad Get System)

Nota: ¿Sin monitoreo de Named Pipes? Puedes usar Sysmon + esta configuración y esta regla Sigma para comenzar.

Actividad Get System

• b6a1458f396 (varios eventos: nuevo registro de servicio y creación de proceso)

Nota: ¿Sin eventos? Puedes usar esta regla Sigma para comenzar.

Baliza C2