Depois do acesso inicial, o invasor avança com credenciais roubadas e ferramentas de administração. Veja os sinais que o SOC pode correlacionar.
Quando o invasor consegue um primeiro ponto de apoio na rede, ele não faz pausa para reavaliar. Um relatório global de ameaças publicado em 2026, com telemetria de 2025, descreve um roteiro já montado: comando e controle (C2) persistente, credenciais roubadas postas em uso, descoberta automatizada e movimento lateral por caminhos administrativos confiáveis. Os controladores de domínio são pressionados cedo. É nessa sequência que acontece o abuso de credenciais no Active Directory.
Quando as condições se alinham, a operação passa para roubo de dados ou preparação de ransomware. Muitas vezes isso ocorre antes de a defesa sair da detecção inicial para a resposta coordenada.
Credencial roubada no lugar de força bruta
Dentro do ambiente, as operações observadas dependeram cada vez mais de roubo de credenciais, em vez de força bruta. Com uma credencial válida, o invasor percorre o ambiente, executa comandos e acessa serviços sensíveis sem deixar de parecer uma operação legítima.
Para o movimento lateral e a execução remota de comandos, o relatório registrou abuso consistente de ferramentas administrativas legítimas: Impacket, WinRM, WMIC e tarefas agendadas. Na telemetria de endpoints, 48,96% da atividade suspeita estava ligada a abuso de aplicativos legítimos. Para o relatório, a escala vem de ferramentas nativas e automação, em vez de malware sob medida.
Segundo o relatório, o desafio do defensor tem menos a ver com visibilidade e mais com tempo. Muitas organizações não têm maturidade de correlação para perceber o uso de uma confiança legítima na velocidade em que ele acontece.
Descoberta em velocidade de máquina
O reconhecimento interno também é automatizado. A telemetria registrou alto volume de atividade RPC e abuso sistemático de named pipes, em especial o wkssvc, para enumerar usuários e dispositivos. Em casos representativos, uma única conta foi associada a mais de 100 endereços IP internos e acessou o wkssvc repetidas vezes.
Concluída a enumeração, os invasores identificam rapidamente os controladores de domínio, mapeiam relações privilegiadas e priorizam alvos de alto valor. Nas investigações analisadas, a detecção durante a enumeração foi muitas vezes a última vantagem de tempo relevante antes do impacto irreversível.
Dois fatores aceleram a expansão. Protocolos legados, como SMBv1, criam caminhos de movimento lateral previsíveis e de baixo esforço. E o uso indevido de ferramentas de monitoramento e gerenciamento remoto (RMM) dá acesso persistente e de alto privilégio, que se mistura à rotina de TI quando faltam linha de base e correlação entre sinais.
O que o SOC pode monitorar
O relatório defende a detecção precoce, bem antes de um executável malicioso aparecer no endpoint. Os sinais listados:
- Anomalias de autenticação em IAM e AD: novos tipos de logon, hosts ou usuários incomuns.
- Padrões de NTLM ou Kerberos que não existiam na linha de base, tratados como indicador de expansão.
- Descoberta automatizada: acesso ao wkssvc e grande dispersão de conexões leste-oeste.
- Beaconing sobre TCP, SSL ou HTTP, em portas comuns ou incomuns, com periodicidade.
- Protocolos ou destinos raros, como SSH ou FTP para nuvem ou domínios novos.
O beaconing passa a ser indicador de alta confiança de pós-exploração quando aparece junto de desvios de autenticação NTLM recém-vistos, execução remota de comandos e sondagem precoce de controladores de domínio. As correlações sugeridas seguem essa lógica:
- C2 e anomalia de autenticação no mesmo host: controle ativo.
- Beaconing repetido e uso de protocolo lateral (SMB, RPC, WinRM).
- C2, abuso de identidade, descoberta e movimento lateral ao mesmo tempo: um único incidente.
- Transição entre fases em minutos: escalar.
Exercício de caça para o time de SOC
Organizamos os sinais e as evidências do relatório em uma sequência de caça:
- Levante a linha de base de autenticação: tipos de logon e padrões de NTLM e Kerberos.
- Procure o que é novo em relação a ela: tipo de logon inédito, host ou usuário incomum, padrão recém-visto.
- Procure contas que acessam o wkssvc repetidamente ou alcançam muitos endereços internos.
- Cruze o resultado com callbacks de C2 e com uso de SMB, RPC ou WinRM no mesmo host.
- Preserve metadados de fluxo de rede, registros de autenticação com uso novo ou raro de identidade e rastros de SMB, RPC e WinRM.
- Monte a cadeia mínima de prova: C2, uso suspeito de identidade e movimento lateral.
Resposta e decisão
Para a resposta, o plano de ação do relatório prevê:
- C2 confirmado: conter primeiro, investigar depois.
- Redefinição rápida de credenciais e revisão de privilégios, para interromper a reutilização.
- Segmentação ou bloqueio no gateway, para cortar o C2 e os caminhos de expansão.
Já na fase de exposição, a orientação é correlacionar tentativas de força bruta com a classe da identidade e o potencial de privilégio. A prioridade vai para identidades de administrador e de serviço, como as contas de serviço.
Para quem aprova orçamento, o relatório trata a pós-exploração como risco de velocidade de negócio: o invasor se move internamente mais rápido do que as equipes detectam e coordenam. As decisões sugeridas são investir em correlação e velocidade de resposta antes de adicionar ferramentas e trocar o indicador de volume de alertas por tempo de contenção.
Esses padrões foram observados predominantemente em ambientes empresariais complexos. Podem variar em infraestruturas menores ou menos maduras.
Participe do CyberSprint, responda uma pergunta por dia e concorra a um drone DJI Mini 4K.
Mayara Pimentel
Executiva de marketing com 6 anos de experiência e um histórico comprovado de impulsionar resultados por meio de estratégias inovadoras. Especialista em marketing orientado a resultados, com foco em estratégias de alta performance.
