Atomic Red T1548.002

Invoke-AtomicTest T1548.002

Ejecuta los tests atómicos de bypass de UAC (T1548.002) con Atomic Red Team, validando la detección de la elevación de privilegios por UAC.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección del bypass de UAC: los atómicos de T1548.002 replican los bypasses conocidos (fodhelper, eventvwr, los de UACME) y el equipo verifica qué detectó — Sysmon Event 13 (la clave del bypass), las reglas del SIEM, el EDR. Es la validación de la detección de la elevación: la técnica real del atacante. En el purple teaming, los atómicos validan las reglas de UAC y el resultado alimenta la matriz.

No lo ejecutes en producción: los bypasses modifican el registro y elevan procesos — el laboratorio es el sitio. Y ojo: T1548.002 es una familia (los bypasses por registro, por binarios autoElevate): cada atómico valida un bypass — la cobertura se valida por variante. La detección del cambio en la clave del bypass (Sysmon Event 13) es la regla clásica que se valida. Los bypasses modernos (los de UACME) evolucionan: el atómico valida las variantes documentadas, las nuevas requieren los atómicos actualizados. El host de pruebas con UAC en el nivel por defecto (el requisito del bypass).