hunting-for-dcsync-attacks
Faz seu agente detectar ataques DCSync que roubam credenciais. É útil ao investigar roubo de credenciais ou após detectar ferramentas como Mimikatz.
O que ela faz
Esta ferramenta procura por tentativas de roubo de senhas de administradores de rede. Ela analisa logs de eventos específicos do Windows para identificar atividades suspeitas que podem indicar que alguém está tentando extrair informações de segurança do seu sistema.
Quando usar
- ✓Quando você suspeita que alguém está tentando roubar senhas de administrador.
- ✓Se você detectou ferramentas que podem roubar senhas, como Mimikatz.
- ✓Durante investigações de segurança ou testes para ver se sua rede está protegida contra ataques.
Exemplo do que pedir para a IA
“Procure por atividades de roubo de senhas de administrador.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta verifica logs de eventos do Windows (ID 4662) que registram quando alguém tenta acessar dados importantes. Ela procura por pedidos específicos que são usados para copiar informações de segurança, mas apenas se esses pedidos vierem de um computador que não deveria estar fazendo isso.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill hunting-for-dcsync-attacksOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/hunting-for-dcsync-attacks/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Caçando Ataques DCSync
Quando Usar
- Ao caçar por roubo de credenciais DCSync (MITRE ATT&CK T1003.006)
- Após detectar Mimikatz ou ferramentas similares no ambiente
- Durante a resposta a incidentes envolvendo comprometimento do Active Directory
- Ao monitorar por requisições de replicação de domínio não autorizadas
- Durante exercícios de purple team testando a detecção de ataques AD
Pré-requisitos
- Encaminhamento do Log de Segurança do Windows habilitado (ID de Evento 4662)
- Auditoria de Acesso ao Serviço de Diretório habilitada via Política de Grupo
- SACL configurada em Computadores de Domínio no Objeto de Domínio para detecção de contas de máquina
- SIEM com dados de eventos do Windows ingeridos (Splunk, Elastic, Sentinel)
- Conhecimento de contas legítimas de controlador de domínio e parceiros de replicação
Fluxo de Trabalho
- Habilitar Auditoria: Garanta que a Auditoria de Acesso ao Serviço de Diretório esteja habilitada nos controladores de domínio.
- Coletar Eventos: Reúna o ID de Evento do Windows 4662 com AccessMask 0x100 (Control Access).
- Filtrar GUIDs de Replicação: Procure por DS-Replication-Get-Changes e DS-Replication-Get-Changes-All.
- Identificar Fontes Não-DC: Marque eventos onde SubjectUserName não é uma conta de máquina de controlador de domínio.
- Correlacionar com Rede: Cruze endereços IP de origem contra endereços de DC conhecidos.
- Validar Descobertas: Exclua ferramentas de replicação legítimas (Azure AD Connect, SCCM).
- Responder: Desabilite contas comprometidas, redefina krbtgt, investigue movimento lateral.
Conceitos Chave
| Conceito | Descrição |
|---|---|
| DCSync | Técnica que abusa do protocolo de replicação do AD para extrair hashes de senha |
| Event ID 4662 | Evento de auditoria de Acesso ao Serviço de Diretório |
| DS-Replication-Get-Changes | GUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 |
| DS-Replication-Get-Changes-All | GUID 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2 |
| AccessMask 0x100 | Direito de Acesso de Controle indicando verificação de direitos estendidos |
| T1003.006 | OS Credential Dumping: DCSync |
Ferramentas & Sistemas
| Ferramenta | Propósito |
|---|---|
| Visualizador de Eventos do Windows | Análise direta de logs de eventos |
| Splunk | Correlação SIEM do Evento 4662 |
| Elastic Security | Regras de detecção para padrões DCSync |
| Mimikatz lsadump::dcsync | Ferramenta de ataque usada para realizar DCSync |
| Impacket secretsdump.py | Implementação DCSync baseada em Python |
| BloodHound | Identificar contas com direitos de replicação |
Formato de Saída
Hunt ID: TH-DCSYNC-[DATE]-[SEQ]
Technique: T1003.006
Domain Controller: [DC hostname]
Subject Account: [Account performing replication]
Source IP: [Non-DC IP address]
GUID Accessed: [Replication GUID]
Risk Level: [Critical/High/Medium/Low]
Recommended Action: [Disable account, reset krbtgt, investigate]
Perguntas frequentes
O que é DCSync?
DCSync é uma técnica que abusa do protocolo de replicação do Active Directory para extrair senhas de usuários e administradores.
O que são os logs de Evento ID 4662?
São logs do Windows que registram quando há acesso a objetos do serviço de diretório, como o Active Directory.
Por que é importante identificar contas que não são controladores de domínio?
Porque apenas os controladores de domínio devem ter permissão para realizar certas operações de replicação. Se outra conta tentar, pode ser uma tentativa de roubo de credenciais.
Detalhes
Descrição original do autor
Detect DCSync attacks (MITRE ATT&CK T1003.006) by analyzing Windows Event ID 4662 (AccessMask 0x100) for DS-Replication-Get-Changes and DS-Replication-Get-Changes-All requests issued by non-domain-controller accounts. Use when hunting for DCSync credential theft, after detecting Mimikatz-class tooling, or during incident response and purple-team exercises involving Active Directory replication abu
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5792
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
data-throughput-accelerator
Faz seu agente acelerar a movimentação de grandes volumes de dados. Ele encontra gargalos e garante que os dados sejam transferidos de forma rápida e correta.
affaan-m/ECC
inventory-demand-planning
Ajuda seu agente a prever a demanda de produtos em lojas. Ele otimiza o estoque e planeja quando fazer promoções para vender mais.
affaan-m/ECC
market-research
Ajuda seu agente a realizar pesquisas de mercado e análises competitivas. Fornece resumos com atribuição de fontes.
affaan-m/ECC