Detectando Tarefas Agendadas Maliciosas com Sysmon

Visão Geral

Adversários abusam do Agendador de Tarefas do Windows (schtasks.exe, at.exe) para persistência (T1053.005) e movimento lateral. O Evento Sysmon ID 1 captura a criação de processos schtasks.exe com argumentos de linha de comando completos, enquanto o Evento ID 11 captura arquivos XML de tarefas gravados em C:\Windows\System32\Tasks. O Evento de Segurança do Windows 4698 registra detalhes de registro de tarefas. Esta habilidade abrange a construção de regras de detecção que correlacionam esses eventos para identificar tarefas agendadas maliciosas criadas a partir de caminhos suspeitos, com payloads codificados ou visando sistemas remotos.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de tarefas agendadas maliciosas com sysmon
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Sysmon instalado com uma configuração focada em detecção (por exemplo, SwiftOnSecurity ou Olaf Hartong)
• Encaminhamento de Logs de Eventos do Windows para SIEM (Splunk, Elastic ou Sentinel)
• PowerShell ScriptBlock Logging habilitado (Evento 4104)

Passos

1. Configurar o Sysmon para registrar os IDs de Evento 1, 11, 12, 13 com filtros relacionados a tarefas
2. Construir regras de detecção para schtasks.exe /create com argumentos suspeitos
3. Correlacionar o Evento 4698 (tarefa registrada) com o Evento Sysmon 1 (criação de processo)
4. Caçar tarefas executando a partir de diretórios públicos ou com comandos codificados
5. Alertar sobre a criação de tarefas remotas (schtasks /s) para detecção de movimento lateral

Saída Esperada

[CRITICAL] Suspicious Scheduled Task Detected
  Task: \Microsoft\Windows\UpdateCheck
  Command: powershell.exe -enc SQBuAHYAbwBrAGUALQBXAGUAYgBSAGU...
  Created By: DOMAIN\compromised_user
  Parent Process: cmd.exe (PID 4532)
  Source: \\192.168.1.50 (remote creation)
  MITRE: T1053.005 - Scheduled Task/Job