hunting-for-living-off-the-cloud-techniques
Faz seu agente caçar o uso indevido de serviços de nuvem legítimos. É útil para detectar canais de comando e controle ou exfiltração de dados escondidos na nuvem.
O que ela faz
Esta ferramenta ajuda a procurar por atividades suspeitas que usam serviços de nuvem legítimos (como Azure, AWS, Google Cloud) para esconder ações maliciosas, como receber comandos ou roubar dados. Ela se disfarça como atividade normal na nuvem.
Quando usar
- ✓Quando você quer procurar ativamente por essas técnicas escondidas.
- ✓Se houver notícias de ataques usando esses métodos.
- ✓Durante uma investigação de segurança para entender o que foi afetado.
Exemplo do que pedir para a IA
“Procure por atividades incomuns em contas da AWS que possam indicar roubo de dados.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
Ela funciona analisando os registros de atividades na nuvem e em computadores. Ao comparar esses registros com padrões conhecidos de ataques, ela identifica comportamentos que parecem normais, mas que na verdade são maliciosos.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill hunting-for-living-off-the-cloud-techniquesOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/hunting-for-living-off-the-cloud-techniques/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Caçando Técnicas de "Living Off The Cloud"
Quando Usar
- Ao procurar proativamente por indicadores de técnicas de "living off the cloud" no ambiente.
- Após a inteligência de ameaças indicar campanhas ativas usando essas técnicas.
- Durante a resposta a incidentes para delimitar o comprometimento relacionado a essas técnicas.
- Quando alertas de EDR ou SIEM disparam em indicadores relacionados.
- Durante avaliações de segurança periódicas e exercícios de equipe roxa.
Pré-requisitos
- Plataforma EDR com telemetria de processos e rede (CrowdStrike, MDE, SentinelOne).
- SIEM com dados de log relevantes ingeridos (Splunk, Elastic, Sentinel).
- Sysmon implantado com configuração abrangente.
- Encaminhamento do Log de Eventos de Segurança do Windows habilitado.
- Feeds de inteligência de ameaças para correlação de IOCs.
Fluxo de Trabalho
- Formular Hipótese: Definir uma hipótese testável com base na inteligência de ameaças ou análise de lacunas do ATT&CK.
- Identificar Fontes de Dados: Determinar quais logs e telemetria são necessários para validar ou refutar a hipótese.
- Executar Consultas: Executar consultas de detecção contra plataformas SIEM e EDR para coletar eventos relevantes.
- Analisar Resultados: Examinar os resultados das consultas em busca de anomalias, correlacionando entre várias fontes de dados.
- Validar Descobertas: Distinguir verdadeiros positivos de falsos positivos através de análise contextual.
- Correlacionar Atividade: Ligar as descobertas a cadeias de ataque mais amplas e TTPs de atores de ameaças.
- Documentar e Relatar: Registrar descobertas, atualizar regras de detecção e recomendar ações de resposta.
Conceitos Chave
| Conceito | Descrição |
|---|---|
| T1102 | Serviço Web |
| T1567 | Exfiltração Via Serviço Web |
| T1537 | Transferir Dados para Conta na Nuvem |
Ferramentas e Sistemas
| Ferramenta | Propósito |
|---|---|
| CrowdStrike Falcon | Telemetria EDR e detecção de ameaças |
| Microsoft Defender for Endpoint | Caça avançada com KQL |
| Splunk Enterprise | Análise de logs SIEM com consultas SPL |
| Elastic Security | Regras de detecção e linha do tempo de investigação |
| Sysmon | Monitoramento detalhado de eventos do Windows |
| Velociraptor | Coleta de artefatos de endpoint e caça |
| Sigma Rules | Formato de regra de detecção multiplataforma |
Cenários Comuns
- Cenário 1: C2 via webhooks do Discord para entrega de comandos.
- Cenário 2: Exfiltração de dados para a API de bot do Telegram.
- Cenário 3: Malware usando Azure Functions para C2 dinâmico.
- Cenário 4: Preparação de dados roubados em páginas do Google Docs ou Notion.
Formato de Saída
Hunt ID: TH-HUNTIN-[DATE]-[SEQ]
Technique: T1102
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]
Perguntas frequentes
O que significa 'living off the cloud'?
Significa que criminosos estão usando serviços de nuvem que as empresas já usam normalmente (como armazenamento ou plataformas de colaboração) para realizar ataques, tornando mais difícil detectá-los.
Quais serviços de nuvem são monitorados?
Os principais serviços de nuvem como Azure, AWS e Google Cloud, além de outras plataformas de Software como Serviço (SaaS).
Preciso ser um especialista em nuvem para usar isso?
Não, a ferramenta foi feita para ajudar a identificar essas ameaças, mesmo que você não seja um especialista em todos os detalhes técnicos da nuvem.
Detalhes
Descrição original do autor
Hunts for adversary abuse of legitimate cloud services (Azure, AWS, GCP, and SaaS platforms) for command-and-control, data staging, and exfiltration, i.e. "living off the cloud" tradecraft that blends in with normal cloud API and service activity. Use when threat hunting for cloud-native C2 channels, abnormal use of storage/SaaS services for data staging, or exfiltration hidden in legitimate cloud
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5798
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
data-throughput-accelerator
Faz seu agente acelerar a movimentação de grandes volumes de dados. Ele encontra gargalos e garante que os dados sejam transferidos de forma rápida e correta.
affaan-m/ECC
inventory-demand-planning
Ajuda seu agente a prever a demanda de produtos em lojas. Ele otimiza o estoque e planeja quando fazer promoções para vender mais.
affaan-m/ECC
market-research
Ajuda seu agente a realizar pesquisas de mercado e análises competitivas. Fornece resumos com atribuição de fontes.
affaan-m/ECC