Se ha lanzado ARES, un nuevo proyecto de código abierto diseñado para que los equipos rojos (red teams) realicen pruebas de ataque planificadas y controladas contra Active Directory y sistemas en la nube. Desarrollada por Mafifrizi y disponible en GitHub, la herramienta incluye 66 módulos activos que cubren más de 60 técnicas mapeadas en el marco de MITRE ATT&CK.

Un nuevo proyecto de núcleo abierto llamado ARES está ofreciendo a los red teams una forma de ejecutar pruebas de ataque planificadas y controladas contra Active Directory y sistemas en la nube. Un desarrollador que utiliza el nombre de Mafifrizi lanzó la herramienta en GitHub.

Viene con 66 módulos activos, con 70 catalogados en total, que cubren más de 60 técnicas mapeadas en MITRE ATT&CK. Está dirigida a red teams empresariales, proveedores de seguridad gestionada (MSSPs) y centros de operaciones de seguridad.

Mafifrizi publica el proyecto como una plataforma de núcleo abierto, lo que significa que la herramienta base es gratuita para leer y probar, mientras que una página de patrocinio sostiene el trabajo continuo.

La página del proyecto enumera el repositorio bajo el nombre “mafifrizi/ares” y lo describe como una plataforma autónoma de compromisos de red-team con orquestación de módulos MITRE ATT&CK, resolución de rutas de ataque e informes. El archivo README no proporciona un nombre real, empresa o equipo detrás del código, por lo que debes tratarlo como un proyecto independiente por ahora.

El argumento del autor es sencillo. Las pruebas de penetración tradicionales cuestan mucho, ocurren rara vez y solo muestran un momento específico en el tiempo, por lo que las nuevas configuraciones erróneas pueden permanecer invisibles durante meses.

Los escáneres de vulnerabilidades agravan el problema al enumerar miles de CVE posibles sin demostrar que alguno de ellos pueda ser utilizado. ARES intenta llenar ese vacío ejecutando pasos de prueba reales y mostrando cuáles conducen a los sistemas más valiosos, como las cuentas de administrador de dominio.

La parte de ARES que más destaca es cuánto se esfuerza por mantener las pruebas dentro de los límites aprobados. Antes de que se ejecute un módulo, una comprobación llamada ScopeGuard confirma que el objetivo está dentro del alcance.

Una segunda capa, el Scope Firewall y Egress Filter, bloquea entonces el tráfico en dos niveles. Un nivel utiliza el firewall del sistema operativo, que es Windows Defender Firewall o Linux Netfilter cuando la herramienta se ejecuta con derechos elevados. El otro vigila las llamadas de red dentro del propio Python. El objetivo es un diseño de “cierre por fallo” (fail-closed), donde la herramienta se detiene en lugar de enviar tráfico a una dirección que nadie haya aprobado.

La herramienta también analiza qué tan ruidosa es cada acción, para que puedas elegir pasos más silenciosos cuando quieras probar si el blue team se da cuenta. Esto es importante porque una prueba descuidada puede tumbar un servidor de producción. Por la misma razón, los equipos de seguridad se están desplazando hacia herramientas que ponen a una persona a cargo de cada decisión.

Rutas de Ataque de Active Directory

Para Active Directory, ARES puede cargar colecciones de BloodHound o mapear sesiones de dominio en vivo. Su motor de grafos integrado calcula entonces la ruta más corta hacia el Administrador de Dominio, señala los puntos críticos y comprueba si es posible un movimiento lateral.

BloodHound utiliza la misma idea de grafos, donde la pertenencia a un grupo pequeño puede abrir un camino de muchos pasos. Se ha explicado cómo la Edición Comunitaria de BloodHound mapea estas rutas a través de Active Directory y Azure.

Puedes establecer un objetivo como domain_admin, full_compromise o cloud_audit. El motor de planificación construye entonces un plan de varios pasos basado en reglas de grafos. También puede utilizar agentes de IA como Claude, OpenAI o un modelo local de Ollama, pero solo después de que tú des un permiso claro.

El mismo motor de planificación cubre las comprobaciones en la nube, y el objetivo cloud_audit es una de las opciones integradas. Permitir que un modelo de lenguaje sugiera los siguientes pasos es ahora común en las herramientas ofensivas. Recientemente se informó sobre Decepticon, un agente de código abierto con 16 roles especializados. ARES mantiene la IA como algo opcional, lo cual preferirán muchos equipos.

Los defensores tienen motivos para vigilar este espacio. Los criminales están utilizando herramientas similares. Se ha cubierto cómo los hackers utilizaron los agentes de IA ARTEX para mapear redes de Windows, robar contraseñas de cuentas de servicio e intentar propagarse dentro de la red. Una plataforma como ARES permite que los defensores prueben los mismos pasos primero, bajo sus propios términos.

Debido a que ARES almacena material sensible, el autor añadió varias protecciones. Las sesiones residen en la base de datos, los tokens de acceso tienen una vida corta y se mantienen en memoria, y los tokens de actualización se rotan. ARES almacena los hashes recolectados y la evidencia del cliente en una bóveda local protegida con AES-256-GCM y PBKDF2-HMAC-SHA256 a 600,000 rondas.

Cuando termina una prueba, ARES puede producir informes personalizados en PDF, HTML, Markdown y JSON. El paso del PDF se ejecuta a través de un navegador sin interfaz (headless), por lo que no necesita librerías GTK adicionales en Windows o Linux. Para los equipos que quieran una guía más profunda sobre la parte de Active Directory, una lista de verificación de ataques de Active Directory es un compañero útil.

Ejecuta ARES únicamente en sistemas que sean de tu propiedad o para los que tengas permiso escrito para probar. Empieza en un laboratorio, comprueba que las reglas de alcance bloqueen las direcciones fuera de rango y revisa el código antes de usarlo en redes reales. Corrige cualquier ruta que la herramienta encuentre hacia una cuenta de administrador de dominio y luego ejecútala de nuevo para confirmar la corrección.