Caçando por Preparação de Dados Antes da Exfiltração

Visão Geral

Antes de exfiltrar dados, os adversários geralmente preparam os arquivos coletados em um local central (MITRE ATT&CK T1074). Isso envolve a criação de arquivos compactados com ferramentas como 7-Zip, RAR ou tar, a consolidação de arquivos de vários diretórios e o uso de diretórios de preparação temporários ou ocultos. Esta habilidade detecta o comportamento de preparação analisando logs de criação de processos para atividade de arquivamento, monitorando eventos do sistema de arquivos em caminhos de preparação comuns e identificando padrões anômalos de consolidação de arquivos.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por preparação de dados antes da exfiltração
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Telemetria EDR ou Sysmon com eventos de criação de processos e sistema de arquivos
• Logs de Eventos do Windows (ID de Evento 4688) ou Sysmon ID de Evento 1, 11
• Python 3.8+ com biblioteca padrão
• Acesso a logs de criação de processos em formato JSON/CSV

Passos

1. Detectar Execução de Ferramenta de Arquivamento — Monitorar a criação de processos 7z.exe, rar.exe, tar, zip e WinRAR com argumentos de compressão
2. Identificar Diretórios de Preparação — Sinalizar gravações de arquivos em locais de preparação comuns (Lixeira, %TEMP%, ProgramData, diretórios ocultos)
3. Detectar Consolidação de Arquivos Grandes — Identificar padrões de múltiplas leituras de arquivos seguidas por gravações em um único diretório
4. Monitorar Acesso a Caminhos Sensíveis — Rastrear leituras em massa de diretórios de documentos, caminhos de banco de dados e compartilhamentos de rede
5. Analisar Metadados de Arquivos Compactados — Extrair e analisar tamanhos de arquivos compactados, tempos de criação e caminhos de origem
6. Pontuar Risco de Preparação — Aplicar pontuação heurística com base no tamanho do arquivo compactado, diversidade de origem, suspeita do caminho de preparação e tempo
7. Gerar Relatório de Caça — Produzir um relatório estruturado com linha do tempo de eventos de preparação e mapeamento MITRE ATT&CK

Saída Esperada

• Relatório JSON de eventos de preparação detectados com pontuações de risco
• Linha do tempo de criação de arquivos compactados com análise de arquivos de origem
• Mapeamento MITRE ATT&CK (T1074.001, T1074.002, T1560)
• Mapa de calor de diretórios de preparação mostrando atividade de gravação suspeita