#887QRadarVerdadero positivo · 91 %IncidenteSeveridad alta

Password Spray seguido de inicio de sesión correcto

45.148.10.238 → srv-ad01 · 10.20.1.10 · usuario mcajamarca · 05/10/2026 20:14–20:31

Ciclo

En ARGOS: abierta · En QRadar: abierta

Dueño

MCM. Cajamarca · por reparto

SLA · objetivo 60 min

38 min restantes

Riesgo compuesto

86 / 100

Veredicto del asistente

qwen3-coder-next · 81 s · 51.274 tokens

312 intentos fallidos contra 47 cuentas desde una única IP pública en 11 minutos, seguidos de un inicio de sesión correcto de mcajamarca, identidad privilegiada. La IP coincide con dos fuentes de inteligencia. El patrón corresponde a un password spray con éxito.

T1110.003 Password SprayingT1078 Valid AccountsTáctica: Credential Access

Activo de destino

Equipo: srv-ad01 · 10.20.1.10
Criticidad: Crítica Intocable
Servicio: Directorio activo
Propietario: Infraestructura TI
Mantenimiento: Dom 02:00–05:00 · fuera de ventana
Agente Wazuh: Activo · 0 críticas, 2 altas
PRTG: Advertencia · 2 de 16 sensores

Inteligencia de indicadores

45.148.10.2382 fuentesconfianza 88

10.20.1.10IP privadano se consulta fuera

Estado en PRTG · srv-ad01

AdvertenciaNo viaja al modelo

16 sensores · estado de hace 3 min · en advertencia ahora: Carga de CPU (78 %), Tráfico saliente. No está pausado.

Sensor	Canal	Mín.	Media	Máx.	Hora previa	Veces lo previo
Carga de CPU	Total	31	71	94	22	3,2×
Tráfico	Saliente (velocidad)	5	29	41	6	4,8×
Ping	Tiempo de ping	1	2	4	2	1,0×
Memoria	Disponible %	Sin datos en la ventana: que falte la telemetría justo entonces es una señal

Durante la ofensa (20:14–20:31), en las unidades de PRTG. El analista no recibe este bloque hasta encender «Enviar el estado de PRTG al modelo».

Registros de la ventana

120 de 359 · el modelo recibe un resumen, nunca el crudo

Hora	Evento	Usuario	Origen	Resultado
20:14:02	Fallo de inicio de sesión (4625)	jperez	45.148.10.238	Fallido
20:14:02	Fallo de inicio de sesión (4625)	asuarez	45.148.10.238	Fallido
20:25:41	Inicio de sesión correcto (4624)	mcajamarca	45.148.10.238	Correcto
20:27:10	Asignación de privilegios especiales (4672)	mcajamarca	srv-ad01	Privilegiado

Recorrido del análisis

Playbook: Contención por IOC positivo

Paso	Resultado	Duración	Tokens
a · Consulta al SIEM	Ofensa abierta, 359 eventos	1,1 s	—
b · Extracción de registros	120 registros de la ventana	9,4 s	—
c · Inteligencia local	3 indicadores · 2 coincidencias	0,6 s	—
c2 · Contexto del equipo	Inventario, Wazuh y PRTG (2 sensores en advertencia)	1,4 s	—
d · Score compuesto	86 / 100	0,1 s	—
e · Resumen de registros	Resumen fiel de 1.180 palabras	24 s	31.902
f · MITRE ATT&CK	T1110.003, T1078	11 s	8.114
g · Veredicto	Verdadero positivo · 91 %	19 s	11.258
h · Segunda opinión	No escalada: confianza por encima del umbral	—	—
i2 · Threat hunting en el SIEM	5 hipótesis · 2 con hallazgos	2 min 08 s	6.420
k · Respuesta del playbook	Bloqueo propuesto · espera aprobación	0,3 s	—

Score: cinco componentes

Búsqueda en QRadar de actividad relacionada que la regla no correlacionó. Solo consultas SELECT, validadas por QRadar, ancladas a la ventana de la ofensa.

AQL válida

H1 · Movimiento lateral por SMB desde la cuenta comprometida

37 filas

SELECT sourceip, destinationip, username, COUNT(*) AS eventos
FROM events WHERE username = 'mcajamarca' AND destinationport = 445
GROUP BY sourceip, destinationip, username
LIMIT 200 START '2026-10-05 20:14' STOP '2026-10-06 20:31'

Ventana ampliada ±24 h · ejecutada en 41 s

AQL reparada

H2 · Otros inicios de sesión correctos desde la misma IP

1 fila

QRadar rechazó la primera versión (campo «src_ip» desconocido); el modelo la corrigió con el error y la segunda pasó.

AQL válida

H3 · Creación o cambio de cuentas tras el acceso

Sin resultados

AQL válida

H4 · Tráfico saliente del controlador a la IP del atacante

Sin resultados

AQL inválida

H5 · Actividad previa de reconocimiento (72 h antes)

No ejecutada

No pasó tras dos correcciones. No se ejecutó: esto no equivale a «sin resultados».

#742 · Password spray contra cuentas de servicio

Cerrada el 12/08/2026 por A. Rivas · similitud 0,81 · comparte «password spray», «srv-ad01»

Fue ataqueIA acertó

#655 · Fallos de inicio de sesión desde VPN

Cerrada el 03/07/2026 por L. Paredes · similitud 0,78 · comparte «inicio de sesión»

Falso positivoIA acertó

Se exige similitud semántica y solape de vocabulario. Si nada pasa el filtro, no se muestra nada.

srv-ad01 · Triage de cacería

WinRM · admin · certificado fijado · hace 12 min

Crítica

Proceso sospechoso: powershell.exe -EncodedCommand …

Lanzado por mcajamarca a las 20:29 · nuevo respecto a la revisión anterior

Sin acciones en Windows

Alta

Conexión establecida a 91.92.251.103:443

IP presente en la inteligencia del SOC (1 fuente)

Info

Protecciones: Defender activo, firmas al día, SMBv1 deshabilitado

¿Cuántas cuentas distintas recibieron intentos?

47 cuentas distintas recibieron intentos entre las 20:14 y las 20:25. Solo una, mcajamarca, terminó con un inicio de sesión correcto.

Con el expediente de la #887 · no cambia la clasificación

Bloqueo de 45.148.10.238 propuesto

20:36 · playbook «Contención por IOC positivo» · espera aprobación

Threat hunting: 5 hipótesis · 2 con hallazgos · 1 inválida

20:35 · asistente

Marcada como incidente

20:34 · M. Cajamarca

Asignada a M. Cajamarca

20:33 · enrutador · afinidad Blue Team

Clasificada verdadero positivo (91 %)

20:33 · asistente

Ingresó desde QRadar

20:32 · ingesta automática