Atomic Red T1105

Invoke-AtomicTest T1105

Ejecuta el test atómico de transferencia de herramientas (T1105) con Atomic Red Team, validando la detección de la descarga del payload.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección de la descarga de herramientas: el atómico T1105 replica la transferencia (la descarga del payload desde el servidor) y el equipo verifica qué detectó — el proxy, la regla del SIEM (la descarga de binarios), el EDR. Es la validación de la detección de Ingress Tool Transfer: la fase en que el atacante trae sus herramientas al host. En el purple teaming, el atómico valida las reglas de descarga y el resultado alimenta la matriz.

No lo ejecutes en producción: la descarga genera el tráfico real — el laboratorio es el sitio. Y ojo: el atómico valida la variante de descarga por HTTP (o por SMB) — los canales alternativos tienen otros atómicos; la cobertura se valida por canal. La detección del proxy (el destino) y del EDR (el binario descargado) son las capas validadas. El servidor local del atómico (el payload a descargar) es parte del test. La detección del binario descargado por el EDR (el hash, la ejecución posterior) es la capa que cierra el ciclo.