Caçando Persistência na Pasta de Inicialização

Visão Geral

Atacantes usam pastas de inicialização do Windows para persistência (MITRE ATT&CK T1547.001 — Execução Automática na Inicialização ou Logon: Chaves de Execução do Registro / Pasta de Inicialização). Arquivos colocados em %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup ou C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup são executados automaticamente no logon do usuário. Esta habilidade escaneia diretórios de inicialização em busca de arquivos suspeitos, monitora mudanças em tempo real usando o watchdog do Python e analisa metadados de arquivos para detectar implantes de persistência.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por persistência na pasta de inicialização.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com watchdog, pefile (opcional para análise de PE).
• Acesso às pastas de inicialização do Windows (do usuário e de todos os usuários).
• Logs de Eventos do Windows para correlação do Event ID 4663 (opcional).

Passos

1. Enumerar todos os arquivos nos diretórios de inicialização do usuário e do sistema.
2. Analisar tipos de arquivo, carimbos de data/hora de criação e assinaturas digitais.
3. Sinalizar extensões de arquivo suspeitas (.bat, .vbs, .ps1, .lnk, .exe).
4. Verificar arquivos criados recentemente (< 7 dias) como implantes potenciais.
5. Monitorar pastas de inicialização em tempo real usando o FileSystemEventHandler do watchdog.
6. Correlacionar com entradas legítimas conhecidas de inicialização.
7. Gerar um relatório de threat hunting com mapeamento MITRE T1547.001.

Saída Esperada

• Relatório JSON listando todo o conteúdo da pasta de inicialização com pontuações de risco, metadados de arquivo e indicadores suspeitos.
• Alertas de monitoramento em tempo real para criação de novos arquivos em diretórios de inicialização.