Acceso a la red: el atacante obtiene acceso a la red (p. ej., mediante phishing o explotando otra vulnerabilidad).
Creación de solicitudes: mediante herramientas como rpcclient o scripts personalizados, elaboran solicitudes Netlogon dirigidas al controlador de dominio.
Escalada de privilegios: una vez que se autentican correctamente, pueden realizar acciones como crear nuevas cuentas de usuario con privilegios administrativos o acceder a datos sensibles.

Herramientas y frameworks:
    Microsoft Security Compliance Toolkit: use este kit de herramientas para aplicar las configuraciones de seguridad recomendadas para entornos Windows.
    Sistemas de detección de intrusiones en la red (NIDS): soluciones como Snort o Suricata pueden ayudar a supervisar patrones inusuales de tráfico Netlogon.
    MITRE ATT&CK: consulte las tácticas relacionadas con el acceso a credenciales (T1552) y la escalada de privilegios (T1068) para modelar posibles rutas de ataque.

Acceso inicial: el atacante puede explotar una vulnerabilidad externa o usar credenciales robadas para acceder al servidor SCCM.
Ejecución de código: al elaborar solicitudes o cargas útiles maliciosas, pueden explotar la vulnerabilidad para ejecutar código sin ninguna interacción del usuario.
Propagación y persistencia: una vez que el atacante tiene acceso, puede propagar el ataque a los clientes administrados o establecer una puerta trasera para un acceso persistente.

Herramientas y frameworks:
    Prácticas recomendadas de seguridad de Configuration Manager: revise e implemente periódicamente las prácticas de seguridad recomendadas descritas en la documentación de Microsoft.
    Lista blanca de aplicaciones: use herramientas como AppLocker para garantizar que solo se ejecuten aplicaciones confiables en los dispositivos administrados.
    MITRE ATT&CK: aproveche el framework para comprender cómo los adversarios pueden explotar esta vulnerabilidad y desarrollar medidas defensivas en consecuencia.

Preparación: asegúrese de que los equipos de respuesta a incidentes conozcan las vulnerabilidades y estén capacitados para reconocer signos de explotación.

Detección:
    Implemente el registro de actividades de Netlogon y Configuration Manager. Supervise los registros para detectar:
        Intentos o patrones de autenticación inusuales (p. ej., múltiples inicios de sesión desde el mismo dispositivo).
        Cualquier despliegue o ejecución de código inesperado dentro de Configuration Manager.

Contención:
    Aísle los sistemas afectados de inmediato para evitar una mayor explotación.
    Deshabilite las cuentas comprometidas o restablezca las credenciales de los usuarios afectados.

Erradicación:
    Elimine cualquier cuenta no autorizada creada durante el ataque.
    Ejecute análisis exhaustivos para detectar y eliminar cualquier malware o puerta trasera.

Recuperación:
    Restaure los sistemas desde copias de seguridad limpias, asegurándose de que estén parcheados y actualizados.
    Realice una revisión posterior al incidente para comprender la causa raíz y mejorar las defensas.

Patrones de autenticación: supervise múltiples inicios de sesión fallidos, especialmente en cuentas de administrador, que podrían indicar intentos de explotar CVE-2024-38124.
Registros de actividad de SCCM: verifique si hay despliegues o comandos inusuales ejecutados a través de Configuration Manager que estén fuera del comportamiento operativo normal.
Análisis de tráfico de red: use herramientas como Wireshark para analizar el tráfico Netlogon en busca de anomalías indicativas de intentos de suplantación.