Atomic Red T1053.005

Invoke-AtomicTest T1053.005

Ejecuta el test atómico de tareas programadas (T1053.005) con Atomic Red Team, validando la detección de la persistencia por Scheduled Tasks.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección de la persistencia por tareas programadas: el atómico T1053.005 crea una Scheduled Task (el método del atómico: schtasks /create) y el equipo verifica qué detectó — Sysmon Event 1 (schtasks), el Event 4698, las reglas del SIEM. Es la validación de la detección de persistencia: la técnica real ejecutada y la cobertura medida. En el purple teaming, el atómico se ejecuta tras desplegar la regla y el resultado alimenta la matriz.

No lo ejecutes en producción: el atómico crea la tarea (persistencia real en el host de pruebas) — el laboratorio es el sitio, y la tarea se limpia al terminar (el propio atómico tiene el cleanup). El ruido se planifica. Y ojo: el atómico valida la detección de la creación de la tarea, no todas las variantes — los métodos de creación (PowerShell, WMI) tienen otros atómicos; la cobertura se valida por variante. El test con los permisos del entorno; sin ellos, la creación de la tarea falla.