detecting-mimikatz-execution-patterns
Faz seu agente detectar a execução do Mimikatz para extrair credenciais. Analisa padrões de linha de comando e acesso ao LSASS para identificar atividades de roubo de senhas.
O que ela faz
Esta ferramenta ajuda a encontrar sinais de que um programa chamado Mimikatz foi usado em um computador. Ele procura por padrões específicos de comandos, acessos incomuns a áreas importantes do sistema e por partes conhecidas do programa Mimikatz.
Quando usar
- ✓Quando você quer procurar ativamente por sinais de Mimikatz no seu sistema.
- ✓Se você recebeu um alerta de segurança sobre acesso a áreas sensíveis do sistema.
- ✓Durante uma investigação de segurança para entender o que aconteceu.
Exemplo do que pedir para a IA
“Procure por atividades suspeitas que possam indicar o uso do Mimikatz.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta compara o que está acontecendo no computador com padrões conhecidos de como o Mimikatz funciona. Ela verifica comandos, como programas acessam a memória e se partes do Mimikatz estão presentes.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-mimikatz-execution-patternsOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/detecting-mimikatz-execution-patterns/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Detectando Padrões de Execução do Mimikatz
Quando Usar
- Ao procurar proativamente por indicadores de detecção de padrões de execução do mimikatz no ambiente
- Após inteligência de ameaças indicar campanhas ativas usando essas técnicas
- Durante a resposta a incidentes para delimitar o comprometimento relacionado a essas técnicas
- Quando alertas de EDR ou SIEM disparam em indicadores relacionados
- Durante avaliações de segurança periódicas e exercícios de time roxo
Pré-requisitos
- Plataforma EDR com telemetria de processos e rede (CrowdStrike, MDE, SentinelOne)
- SIEM com dados de log relevantes ingeridos (Splunk, Elastic, Sentinel)
- Sysmon implantado com configuração abrangente
- Encaminhamento do Log de Eventos de Segurança do Windows habilitado
- Feeds de inteligência de ameaças para correlação de IOCs
Fluxo de Trabalho
- Formular Hipótese: Defina uma hipótese testável com base em inteligência de ameaças ou análise de lacunas do ATT&CK.
- Identificar Fontes de Dados: Determine quais logs e telemetria são necessários para validar ou refutar a hipótese.
- Executar Consultas: Execute consultas de detecção nas plataformas SIEM e EDR para coletar eventos relevantes.
- Analisar Resultados: Examine os resultados das consultas em busca de anomalias, correlacionando entre várias fontes de dados.
- Validar Descobertas: Distinga verdadeiros positivos de falsos positivos por meio de análise contextual.
- Correlacionar Atividade: Vincule as descobertas a cadeias de ataque mais amplas e TTPs de atores de ameaças.
- Documentar e Relatar: Registre as descobertas, atualize as regras de detecção e recomende ações de resposta.
Conceitos-Chave
| Conceito | Descrição |
|---|---|
| T1003.001 | Memória LSASS |
| T1003.006 | DCSync |
| T1558.003 | Kerberoasting |
| T1558.001 | Golden Ticket |
Ferramentas e Sistemas
| Ferramenta | Propósito |
|---|---|
| CrowdStrike Falcon | Telemetria EDR e detecção de ameaças |
| Microsoft Defender for Endpoint | Caça avançada com KQL |
| Splunk Enterprise | Análise de logs SIEM com consultas SPL |
| Elastic Security | Regras de detecção e linha do tempo de investigação |
| Sysmon | Monitoramento detalhado de eventos do Windows |
| Velociraptor | Coleta de artefatos de endpoint e caça |
| Sigma Rules | Formato de regra de detecção multiplataforma |
Cenários Comuns
- Cenário 1: Dump de credenciais padrão sekurlsa::logonpasswords
- Cenário 2: Carregamento reflexivo do PowerShell Invoke-Mimikatz
- Cenário 3: DCSync de um host não-DC
- Cenário 4: Criação de Golden ticket para persistência
Formato de Saída
Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1003.001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]
Perguntas frequentes
O que é Mimikatz?
Mimikatz é uma ferramenta que pode ser usada para extrair senhas e outras informações de segurança de um computador. Pode ser usada por administradores, mas também por pessoas mal-intencionadas.
O que são 'padrões de linha de comando'?
São sequências específicas de texto que as pessoas digitam para fazer o Mimikatz funcionar. A ferramenta procura por essas sequências exatas.
O que é 'LSASS'?
LSASS é um processo importante do Windows que gerencia a segurança, incluindo senhas. Acessar o LSASS de forma incomum pode ser um sinal de que alguém está tentando roubar senhas.
Detalhes
Descrição original do autor
Detect Mimikatz credential-dumping activity via command-line pattern matching, LSASS access signatures, binary/hash indicators, and in-memory detection of known Mimikatz modules. Use when threat hunting for T1003 credential access, triaging EDR/SIEM alerts on LSASS access, scoping compromise during incident response, or validating detection coverage in a purple team exercise.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5684
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
agent-architecture-audit
Faz seu agente verificar se tudo está funcionando corretamente. Ele encontra e conserta problemas em sistemas de IA, garantindo que funcionem como esperado.
affaan-m/ECC
agent-eval
Ajuda seu agente a comparar diferentes ferramentas de programação de IA. Ele mede qual é mais rápido, barato e confiável para realizar tarefas específicas.
affaan-m/ECC
agent-harness-construction
Faz seu agente entender melhor como realizar tarefas. Ele otimiza as ferramentas e instruções que o agente usa para aumentar suas chances de sucesso.
affaan-m/ECC