Caçando Persistência por Chaves de Execução no Registro

Visão Geral

Chaves de Execução no Registro (T1547.001) são um dos mecanismos de persistência mais comumente usados por adversários. Quando um programa é adicionado a uma chave de Execução no registro do Windows, ele é executado automaticamente quando um usuário faz login. Atacantes abusam de chaves sob HKLM\Software\Microsoft\Windows\CurrentVersion\Run, HKCU\Software\Microsoft\Windows\CurrentVersion\Run e suas contrapartes RunOnce para manter a persistência. O Evento 13 do Sysmon (RegistryEvent - Value Set) captura modificações de valores do registro, incluindo o caminho do objeto alvo, o processo que fez a alteração e o novo valor. A detecção envolve o monitoramento desses eventos para executáveis suspeitos em diretórios temporários, comandos PowerShell codificados, caminhos de LOLBins e processos que normalmente não criam entradas de chave de Execução. Encadear o Evento 13 com o Evento 1 (Process Creation) e o Evento 11 (FileCreate) fortalece a detecção ao confirmar a criação e execução do payload.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por persistência por chaves de execução no registro.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Sistemas Windows com Sysmon instalado e configurado para registrar o Evento ID 13.
• Configuração do Sysmon com regras RegistryEvent para chaves Run/RunOnce.
• Python 3.9+ com os módulos json, xml.etree.ElementTree, re.
• SIEM ou agregador de logs coletando logs do Sysmon (Splunk, Elastic, Sentinel).
• Conhecimento de programas legítimos de inicialização automática para comparação de linha de base.

Passos

1. Coletar logs do Evento ID 13 do Sysmon filtrados para caminhos de chaves Run/RunOnce.
2. Analisar o XML/JSON do evento para TargetObject, Details (valor escrito), Image (processo modificador).
3. Sinalizar entradas onde o valor aponta para diretórios temporários, AppData ou ProgramData.
4. Detectar comandos PowerShell codificados ou interpretadores de script em valores de registro.
5. Identificar abuso de LOLBins (mshta.exe, rundll32.exe, regsvr32.exe, wscript.exe).
6. Comparar com a linha de base conhecida de entradas legítimas de inicialização automática.
7. Verificar se o processo modificador (Image) é incomum (cmd.exe, powershell.exe, python.exe).
8. Encadear com o Evento ID 1 para verificar se o binário registrado foi criado recentemente.
9. Gerar relatório de detecção com mapeamento MITRE ATT&CK e pontuações de severidade.
10. Produzir regras de detecção Sigma/Splunk a partir das descobertas.

Saída Esperada

Um relatório JSON listando entradas suspeitas de chaves de Execução com o caminho do registro, valor escrito, processo modificador, timestamp, mapeamento da técnica MITRE, classificação de severidade e regras de detecção Sigma recomendadas.