Detectando T1003 Credential Dumping com EDR

Quando Usar

• Ao procurar por atividades de roubo de credenciais no ambiente
• Após indicadores de comprometimento sugerirem que o atacante obteve privilégios elevados
• Quando alertas de EDR são disparados para acesso ao LSASS ou leituras suspeitas na memória de processos
• Durante a resposta a incidentes para determinar o escopo do comprometimento de credenciais
• Ao auditar controles de proteção do LSASS (Credential Guard, RunAsPPL)

Pré-requisitos

• Agente EDR implantado com monitoramento de acesso ao LSASS (CrowdStrike, Defender for Endpoint, SentinelOne)
• Sysmon Event ID 10 (ProcessAccess) com filtros específicos para LSASS
• Windows Security Event ID 4656/4663 (Auditoria de Acesso a Objetos)
• Auditoria SACL do LSASS habilitada (Windows 10+)
• Auditoria do Registro para acesso à colmeia SAM

Fluxo de Trabalho

1. Monitorar Acesso ao Processo LSASS: Rastrear todos os processos que abrem handles para lsass.exe com direitos de acesso suspeitos (PROCESS_VM_READ 0x0010, PROCESS_ALL_ACCESS 0x1FFFFF). Processos não privilegiados ou incomuns acessando o LSASS são fortes indicadores.
2. Detectar Ferramentas de Credential Dumping: Procurar por assinaturas de ferramentas conhecidas -- Mimikatz (sekurlsa::logonpasswords), procdump.exe visando o LSASS, comsvcs.dll MiniDump, e o Gerenciador de Tarefas criando dumps do LSASS.
3. Monitorar Acesso ao NTDS.dit: Detectar a criação de Volume Shadow Copy (vssadmin, wmic shadowcopy) seguida de acesso ao arquivo NTDS.dit, ou a criação de ntdsutil.exe IFM.
4. Rastrear Acesso às Colmeias SAM/SECURITY/SYSTEM: Procurar por comandos reg.exe save visando as colmeias de registro SAM, SECURITY e SYSTEM.
5. Detectar Atividade DCSync: Monitorar contas não-DC solicitando replicação de diretório (Evento 4662 com GUIDs de replicação).
6. Correlacionar com Movimentação Lateral: Após o credential dumping, atacantes geralmente se movem lateralmente. Correlacionar eventos de acesso a credenciais com tentativas subsequentes de logon remoto.
7. Avaliar Impacto: Determinar quais credenciais foram potencialmente comprometidas e iniciar a redefinição de senhas.

Conceitos Chave

Consultas de Detecção

Splunk -- Detecção de Acesso ao LSASS

index=sysmon EventCode=10
| where match(TargetImage, "(?i)lsass\.exe$")
| where GrantedAccess IN ("0x1FFFFF", "0x1F3FFF", "0x143A", "0x1F0FFF", "0x0040", "0x1010", "0x1410")
| where NOT match(SourceImage, "(?i)(csrss|lsass|svchost|MsMpEng|WmiPrvSE|taskmgr|procexp|SecurityHealthService)\.exe$")
| table _time Computer SourceImage SourceProcessId GrantedAccess CallTrace

Splunk -- Detecção de Ferramentas de Credential Dumping

index=sysmon EventCode=1
| where match(CommandLine, "(?i)(sekurlsa|lsadump|kerberos::list|crypto::certificates)")
    OR match(CommandLine, "(?i)procdump.*-ma.*lsass")
    OR match(CommandLine, "(?i)comsvcs\.dll.*MiniDump")
    OR match(CommandLine, "(?i)ntdsutil.*\"ac i ntds\".*ifm")
    OR match(CommandLine, "(?i)reg\s+save\s+hklm\\\\(sam|security|system)")
    OR match(CommandLine, "(?i)vssadmin.*create\s+shadow")
| table _time Computer User Image CommandLine ParentImage

KQL -- Microsoft Defender for Endpoint

DeviceEvents
| where Timestamp > ago(7d)
| where ActionType in ("LsassAccess", "CredentialDumpingActivity")
| project Timestamp, DeviceName, AccountName, InitiatingProcessFileName,
    InitiatingProcessCommandLine, ActionType, AdditionalFields
| sort by Timestamp desc

Regra Sigma -- LSASS Credential Dumping

title: LSASS Memory Credential Dumping Attempt
status: stable
logsource:
    product: windows
    category: process_access
detection:
    selection:
        TargetImage|endswith: '\lsass.exe'
        GrantedAccess|contains:
            - '0x1FFFFF'
            - '0x1F3FFF'
            - '0x143A'
            - '0x0040'
    filter:
        SourceImage|endswith:
            - '\csrss.exe'
            - '\lsass.exe'
            - '\MsMpEng.exe'
            - '\svchost.exe'
    condition: selection and not filter
level: critical
tags:
    - attack.credential_access
    - attack.t1003.001

…