Atomic Red T1543.003

Invoke-AtomicTest T1543.003

Ejecuta el test atómico de persistencia por servicios (T1543.003) con Atomic Red Team, validando la detección de la creación de servicios por el atacante.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección de la persistencia por servicios: el atómico T1543.003 crea un servicio de Windows (sc create) y el equipo verifica qué detectó — el Event 7045/4697 (servicio creado), Sysmon Event 1 (sc.exe), las reglas del SIEM. Es la validación de la detección de la creación de servicios: la persistencia clásica del atacante. En el purple teaming, el atómico valida las reglas de servicios y el resultado alimenta la matriz.

No lo ejecutes en producción: la creación del servicio es un cambio real en el host de pruebas — el laboratorio es el sitio y el servicio se elimina al terminar (el cleanup). El ruido se planifica. Y ojo: el atómico valida la variante de sc create — las otras vías (PowerShell, instalar el servicio con binario) tienen otros atómicos; la cobertura se valida por variante. La detección del Event 7045 y del proceso (sc.exe) son las capas validadas; sin ellas, el servicio de persistencia del atacante se crea sin rastro.