Una organización sufrió una brecha de seguridad que permitió a un atacante enviar transferencias bancarias fraudulentas desde un PC reforzado, exclusivamente al banco del atacante, a través de conexiones remotas. Un analista de seguridad está creando una línea de tiempo de los eventos y ha encontrado un PC diferente en la red que contiene malware. Al revisar el historial de comandos, el analista encuentra lo siguiente: PS>.\mimikatz.exe "sekurlsa::pth /user:localadmin /domain:corp-domain.com /ntlm:B4B9B02E1F29A3CF193EAB28C8D617D3F327 ¿Cuál de las siguientes opciones describe mejor cómo el atacante obtuvo acceso al PC reforzado?

La salida de mimikatz.exe con el comando sekurlsa::pth indica claramente un ataque de pass-the-hash (PtH). Este ataque permite a un atacante autenticarse en un sistema utilizando el hash NTLM de la contraseña de un usuario, en lugar de la contraseña real. El hecho de que se use localadmin y un dominio corporativo sugiere que se comprometió una cuenta administrativa o de soporte compartida, lo que facilitó el acceso al PC reforzado. Las otras opciones son incorrectas porque: El malware sin archivos no se evidencia directamente en el comando mimikatz.exe. Los binarios "living-off-the-land" (LotL) son herramientas legítimas del sistema utilizadas con fines maliciosos, pero el comando mostrado es de una herramienta de ataque específica, no un binario LotL. La ingeniería social al contable no explica el uso de mimikatz.exe para obtener acceso al PC reforzado; eso sería un método de compromiso inicial diferente.