Análisis de Tráfico de Red con Wireshark: NetSupport RAT
Contexto
El ejercicio simula un escenario SOC real: el SIEM detecta varias alertas de NetSupport Manager RAT desde la IP externa 45.131.214.85 por TCP puerto 443. Se provee un archivo pcap del tráfico capturado desde la red interna 10.2.28.0/24 para identificar el host comprometido.
Entorno
| Campo | Valor |
|---|---|
| Red LAN | 10.2.28.0/24 |
| Dominio | easyas123.tech |
| Controlador de dominio | 10.2.28.2 (EASYAS123-DC) |
| IP maliciosa | 45.131.214.85 |
| Malware | NetSupport Manager RAT |
Metodología
1. Identificar la IP infectada
Filtro aplicado en Wireshark:
ip.addr == 45.131.214.85
Se observaron múltiples peticiones HTTP POST a /fakeurl.htm desde la IP interna 10.2.28.88, patrón característico de NetSupport Manager RAT para comunicación con el C2.
2. Obtener MAC address y hostname
Filtro aplicado:
dhcp
En el paquete DHCP Request se encontró el hostname en la opción 81 (Client Fully Qualified Domain Name): DESKTOP-TEYQ2NR.easyas123.tech
El MAC address se obtuvo del mismo paquete en el campo Client MAC address: 00:19:d1:b2:4d:ad
3. Identificar el usuario
Filtro aplicado:
kerberos.CNameString
El campo CNameString del tráfico Kerberos reveló el nombre de cuenta: brolf
El nombre completo Becka Rolf se obtuvo buscando la cadena "Rolf" en los detalles de paquetes mediante Edit > Find Packet.
Hallazgos
| Campo | Valor |
|---|---|
| IP infectada | 10.2.28.88 |
| MAC address | 00:19:d1:b2:4d:ad |
| Hostname | DESKTOP-TEYQ2NR |
| Usuario | brolf |
| Nombre completo | Becka Rolf |
| C2 server | 45.131.214.85:443 |
| Malware | NetSupport Manager RAT |
Objetivos
- Identificar el host infectado dentro de la red LAN a partir de tráfico capturado
- Extraer información del host (IP, MAC, hostname, usuario) usando filtros de Wireshark
- Reconocer patrones de comunicación de NetSupport Manager RAT
Hallazgos
Host DESKTOP-TEYQ2NR (10.2.28.88, usuario Becka Rolf) comprometido con NetSupport Manager RAT, comunicándose con servidor C2 en 45.131.214.85 por puerto 443 mediante peticiones HTTP POST repetidas a /fakeurl.htm.