Caçando Mecanismos de Persistência no Windows

Quando Usar

• Durante caçadas proativas periódicas por backdoors adormecidos
• Após um incidente para identificar todos os mecanismos de persistência que um invasor plantou
• Ao investigar serviços incomuns, tarefas agendadas ou entradas de inicialização
• Quando relatórios de inteligência de ameaças descrevem novas técnicas de persistência em circulação
• Durante avaliações de postura de segurança para identificar software persistente não autorizado

Pré-requisitos

• Sysmon implantado com IDs de Evento 12/13/14 (Registro), 19/20/21 (WMI), 1 (Criação de Processo)
• Encaminhamento de Eventos de Segurança do Windows para 4697 (Instalação de Serviço), 4698 (Tarefa Agendada)
• EDR com capacidades de monitoramento de registro e arquivos
• Log de blocos de script do PowerShell habilitado (ID de Evento 4104)
• Autoruns ou linha de base equivalente de entradas persistentes legítimas

Fluxo de Trabalho

1. Enumerar Locais de Persistência Conhecidos: Construir uma lista abrangente de pontos de persistência do Windows (chaves Run, serviços, tarefas agendadas, WMI, pasta de inicialização, ordem de busca de DLL, sequestros de COM, DLLs AppInit, Opções de Execução de Arquivo de Imagem).
2. Coletar Dados do Endpoint: Usar EDR, Sysmon ou Velociraptor para coletar artefatos de persistência atuais dos endpoints em todo o ambiente.
3. Estabelecer Linha de Base de Persistência Legítima: Comparar os dados coletados com linhas de base conhecidas e boas (snapshots do Autoruns, entradas implantadas por GPO, configurações do SCCM).
4. Identificar Anomalias: Sinalizar entradas novas, não assinadas ou desconhecidas em locais de persistência que se desviam da linha de base.
5. Investigar Entradas Suspeitas: Para cada anomalia, examinar o binário para o qual ela aponta, sua assinatura digital, hash de arquivo e carimbo de data/hora de criação.
6. Correlacionar com Atividade de Processo: Vincular entradas de persistência à execução de processos, atividade de rede e eventos de login de usuário.
7. Documentar e Remediar: Registrar descobertas, remover persistência maliciosa e atualizar regras de detecção.

Conceitos Chave

Ferramentas & Sistemas

Cenários Comuns

1. Backdoor na Chave Run do Registro: Malware adiciona HKCU\Software\Microsoft\Windows\CurrentVersion\Run apontando para o payload em %APPDATA%.
2. Assinatura de Evento WMI: Adversário cria um par consumidor/filtro WMI que executa PowerShell na inicialização do sistema.
3. Serviço Malicioso: Invasor cria um serviço do Windows com sc create apontando para um binário de backdoor.
4. Sequestro de Objeto COM: Caminho InprocServer32 de CLSID COM legítimo substituído por DLL maliciosa.
5. Injeção de Debugger IFEO: Chave de Opções de Execução de Arquivo de Imagem definida com um depurador apontando para um implante para utilitários comuns.

Formato de Saída

Hunt ID: TH-PERSIST-[DATE]-[SEQ]
Persistence Type: [Registry/Service/Task/WMI/COM/Other]
MITRE Technique: T1547.xxx / T1543.xxx / T1053.xxx
Location: [Full registry key / service name / task path]
Value: [Binary path / command line]
Host(s): [Affected endpoints]
Signed: [Yes/No]
Hash: [SHA256]
Creation Time: [Timestamp]
Risk Level: [Critical/High/Medium/Low]
Verdict: [Malicious/Suspicious/Benign]