Caçando Movimentação Lateral por DCOM

Aviso Legal de Teste Autorizado: As técnicas ofensivas e simulações de ataque descritas nesta habilidade destinam-se exclusivamente a testes de penetração autorizados, engajamentos de equipe vermelha (red team), exercícios de equipe roxa (purple team) e pesquisa de segurança conduzida com permissão explícita por escrito do proprietário do sistema. O uso não autorizado dessas técnicas contra sistemas que você não possui ou tem permissão para testar é ilegal e antiético. Opere sempre dentro do escopo do seu engajamento e cumpra as leis e regulamentos aplicáveis.

Visão Geral

O Distributed Component Object Model (DCOM) permite a execução remota de objetos COM através de uma rede usando RPC. Adversários abusam de objetos DCOM específicos -- MMC20.Application (CLSID {49B2791A-B1AE-4C90-9B8E-E860BA07F889}), ShellBrowserWindow (CLSID {C08AFD90-F2A1-11D1-8455-00A0C91F3880}) e ShellWindows (CLSID {9BA05972-F6A8-11CF-A442-00A0C90A8F39}) -- para executar comandos em hosts remotos sem a necessidade de salvar arquivos, tornando esta uma técnica furtiva de movimentação lateral mapeada para o MITRE ATT&CK T1021.003. Esta habilidade fornece estratégias de detecção usando telemetria do Sysmon, correlação de Eventos de Segurança do Windows, monitoramento de rede e regras de detecção SIEM para identificar o abuso de DCOM em ambientes corporativos.

Quando Usar

• Caçando proativamente por movimentação lateral em ambientes Active Directory onde o DCOM está habilitado
• Investigando alertas de criação de processos filhos suspeitos de mmc.exe, dllhost.exe ou explorer.exe em servidores
• Construindo regras de detecção para MITRE ATT&CK T1021.003 (Serviços Remotos: Distributed Component Object Model)
• Correlacionando o Evento ID 1 (Criação de Processo) e o Evento ID 3 (Conexão de Rede) do Sysmon para rastrear cadeias de execução de comandos baseadas em DCOM
• Auditando a exposição de DCOM em todo o domínio para reduzir a superfície de ataque de movimentação lateral
• Durante exercícios de equipe roxa validando a cobertura de detecção para técnicas baseadas em DCOM

Não use como substituto para detecção de movimentação lateral baseada em EDR, sem Sysmon ou telemetria de processo equivalente implantada nos endpoints, ou isoladamente sem correlacionar indicadores de nível de rede e de host.

Pré-requisitos

• Sysmon implantado em endpoints com configuração que capture o Evento ID 1 (Criação de Processo), Evento ID 3 (Conexão de Rede), Evento ID 7 (Imagem Carregada) e Evento ID 10 (Acesso a Processo)
• Logs de Segurança do Windows encaminhados para SIEM (Eventos IDs 4624, 4672, 4688)
• Plataforma SIEM (Splunk, Elastic, Microsoft Sentinel) com capacidade de correlação
• Monitoramento de rede para tráfego RPC (TCP 135 e portas altas dinâmicas 49152-65535)
• Inventário base de uso legítimo de DCOM no ambiente
• Compreensão da tática MITRE ATT&CK Lateral Movement (TA0008) e T1021.003

Fluxo de Trabalho

Passo 1: Entender os Vetores de Ataque de Movimentação Lateral por DCOM

A movimentação lateral por DCOM explora três objetos COM primários. Cada um possui artefatos forenses distintos.

MMC20.Application -- O atacante instancia o snap-in MMC remotamente e chama ExecuteShellCommand para executar comandos arbitrários no alvo. Isso gera o mmc.exe como um filho do svchost.exe (serviço DcomLaunch) no alvo.

ShellBrowserWindow -- Usa o método Document.Application.ShellExecute para executar comandos através de um processo explorer.exe existente. Diferente do MMC20, isso não cria um novo processo para o próprio servidor COM, tornando-o mais furtivo.

ShellWindows -- Semelhante ao ShellBrowserWindow, ele é ativado dentro de uma instância explorer.exe existente e executa processos filhos a partir do explorer.exe. A ausência de um novo processo servidor COM torna mais difícil a detecção sem telemetria adequada.

# SIMULAÇÃO DE ATAQUE (apenas testes autorizados)
# Estes comandos demonstram o que os adversários executam -- use apenas em ambientes de laboratório

# Movimentação lateral com MMC20.Application
# $dcom = [System.Activator]::CreateInstance(
#     [Type]::GetTypeFromProgID("MMC20.Application", "TARGET_IP"))
# $dcom.Document.ActiveView.ExecuteShellCommand(
#     "cmd.exe", $null, "/c whoami > C:\temp\output.txt", "7")

# Movimentação lateral com ShellWindows
# $dcom = [System.Activator]::CreateInstance(
#     [Type]::GetTypeFromCLSID(
#         [guid]"9BA05972-F6A8-11CF-A442-00A0C90A8F39", "TARGET_IP"))
# $dcom.item().Document.Application.ShellExecute(
#     "cmd.exe", "/c calc.exe", "C:\windows\system32", $null, 0)

# Movimentação lateral com ShellBrowserWindow
# $dcom = [System.Activator]::CreateInstance(
#     [Type]::GetTypeFromCLSID(
#         [guid]"C08AFD90-F2A1-11D1-8455-00A0C91F3880", "TARGET_IP"))

…