Quando um invasor ultrapassa a primeira barreira, o ataque está só começando. As técnicas pós-exploração entram em cena para consolidar presença, escalar privilégios, movimentar-se lateralmente e manter comando e controle (C2) sem chamar atenção. Por isso, além de bloquear o acesso inicial, as equipes precisam detectar cedo os sinais de pós-exploração e interromper a cadeia antes que ela vire uma violação completa. A seguir, reunimos os comportamentos mais observados em 2024 via NDR, com foco em escalonamento de privilégios (TA0004), movimento lateral (TA0008) e C2 (TA0011) — e em como enxergar o que muitas vezes passa “abaixo do radar”.
O arsenal pós-exploração em 2024: RATs que garantem persistência
Criminosos contam com malware desenhado para permanecer e operar no ambiente comprometido. Entre os Remote Access Trojans (RATs) mais ativos, destacam-se:
-
Xeno RAT — Ferramenta de código aberto, rica em recursos: captura de telas, exfiltração de dados, mecanismos de persistência e uso de proxy reverso Socks5.
-
SparkRAT — Altamente sofisticado, habilita execução remota de comandos, manipulação do sistema (desligar, reiniciar, hibernar) e controle de arquivos/processos.
-
AsyncRAT e Trickbot — Famílias associadas a espionagem, roubo de credenciais e intrusão persistente em redes.
Na prática, esses RATs permitem roubar credenciais, executar comandos à distância e exfiltrar informações de maneira contínua — peças centrais do toolkit pós-exploração.
Movimento lateral sem alarde: da SMB ao RDP
Uma vez “dentro”, o atacante raramente fica parado. Ele tenta ampliar acesso e alcançar dados sensíveis usando táticas recorrentes:
-
SMB com executáveis maliciosos — Downloads via tráfego SMB seguem efetivos para propagar malware em Windows, macOS e Linux.
-
Anomalias de protocolo (Impacket/PID) — Uso indevido de campos no SMB (por exemplo, identificadores de processo) serve como IOC comportamental.
-
WMI ExecMethod — Sequências de WMI que acionam comandos remotos têm sido flagradas por modelos comportamentais em NDR.
-
RDP — Abusado para deslocamento baseado em credenciais; participou de grande parte dos incidentes investigados em 2024.
Como detectar: monitore cópias/execuções anômalas via SMB, correlações WMI/PowerShell, padrões de logon RDP fora de perfil, e bloqueie lateral movement com segmentação e MFA para saltos administrativos.
“Viver da terra”: quando o Windows é usado contra você
Para evitar controles baseados em assinatura, invasores exploram utilitários nativos (LOLBins) e cadeias de execução discretas:
-
PEs maliciosos baixados dentro da rede sinalizam exploração em andamento.
-
Downloaders de trojan usados por grupos APT sustentam entrega sigilosa de cargas.
-
PowerShell via WMI (codificado) viabiliza ataques fileless e deslocamento furtivo.
Como detectar: invista em análise comportamental, detecção de script block logging, restrição de PowerShell a modos Constrained Language, e políticas de Applocker/Device Guard para reduzir superfície de execução.
Reconhecimento e manipulação do Active Directory
Antes da ofensiva em escala, o atacante tenta entender (e às vezes alterar) o AD:
-
DCShadow — Introduz um “controlador falso” para empurrar alterações maliciosas ao AD.
-
DCSync — Replica segredos do controlador sem autorização.
-
Enumeração de AD — Consultas suspeitas a usuários, grupos, relações de confiança e sessões compartilhadas.
Como detectar: audite eventos de replicação e alterações de esquema, alerte sobre contas que executam DCSync, limite privilégios de replicação, e monitore consultas LDAP volumosas ou fora do padrão.
C2 disfarçado: quando o comando e controle vira “ruído” criptografado
Com a persistência estabelecida, o atacante precisa falar com seus hosts:
-
Beacons em SSL/TLS — Tentam se esconder no tráfego criptografado.
-
Consultas DNS associadas ao Cobalt Strike — Indício clássico de framework ofensivo.
-
Túneis e consultas DNS longas — Estratégias para contornar inspeções tradicionais.
-
Domínios DGA — Algoritmos que geram domínios efêmeros para manter C2 dinâmico.
Como detectar: use NDR com ML profundo para identificar padrões temporais e estatísticos de beaconing, integre com o Security Fabric (ou equivalente) para bloquear IPs de botnet no perímetro e correlacione DNS + TLS + endpoint no SIEM/XDR.
Controles práticos para “ganhar tempo” do lado certo
-
Menor privilégio e segmentação entre estações, servidores e ativos críticos.
-
Endurecimento de RDP/SMB/WMI, com MFA e jump hosts para acessos administrativos.
-
Telemetria unificada (NDR + EDR/XDR + SIEM) para ver a cadeia ponta a ponta.
-
Patch e hardening contínuos, com priorização por risco e exploits ativos.
-
Regras de execução (AppLocker/WDAC), PowerShell restrito e controle de scripts.
-
Honeypots e ASM para descobrir superfícies expostas e antecipar TTPs.
No fim, bloquear o acesso inicial é necessário, mas quebrar a cadeia nas técnicas pós-exploração é o que salva o dia. Visibilidade comportamental, resposta coordenada e higiene consistente formam a defesa que encurta o ciclo detecção → contenção → erradicação.
