Caçando Tarefas Agendadas Suspeitas

Quando Usar

• Ao procurar proativamente por mecanismos de persistência em ambientes Windows.
• Após detectar o uso de schtasks.exe ou at.exe em logs de criação de processos.
• Ao investigar malware que sobrevive a reinicializações e desconexões de usuários.
• Durante a resposta a incidentes para enumerar toda a persistência em sistemas comprometidos.
• Quando o Event ID 4698 de Segurança do Windows (Tarefa Agendada Criada) dispara para tarefas incomuns.

Pré-requisitos

• Event ID 4698/4699/4702 de Segurança do Windows (Tarefa Criada/Excluída/Atualizada).
• Sysmon Event ID 1 para criação de processos schtasks.exe com linhas de comando.
• Log operacional do Agendador de Tarefas do Windows (Microsoft-Windows-TaskScheduler/Operational).
• Log do PowerShell para uso do cmdlet Register-ScheduledTask.
• Acesso às definições XML do Agendador de Tarefas nos endpoints.

Fluxo de Trabalho

1. Enumerar Todas as Tarefas Agendadas: Colete um inventário completo de tarefas dos sistemas de destino usando o cmdlet PowerShell schtasks /query /fo CSV /v ou Get-ScheduledTask.
2. Monitorar Eventos de Criação de Tarefas: Acompanhe o Event ID 4698 para a criação de novas tarefas, correlacionando com o processo criador e o contexto da conta de usuário.
3. Analisar Ações das Tarefas: Examine o que cada tarefa executa. Marque tarefas que executam scripts (PowerShell, cmd, wscript), binários de caminhos graváveis pelo usuário (TEMP, AppData, Downloads) ou comandos codificados/ofuscados.
4. Verificar Gatilhos das Tarefas: Revise as condições dos gatilhos. Tarefas acionadas pela inicialização do sistema, logon do usuário ou intervalos curtos (1-5 minutos) exigem investigação.
5. Identificar Tarefas Ocultas ou Disfarçadas: Procure por tarefas com nomes que imitam tarefas legítimas do Windows, tarefas com modificações no Descritor de Segurança que as ocultam da enumeração padrão, ou tarefas armazenadas em locais não padrão do registro.
6. Correlacionar com Execução de Processos: Combine eventos de execução de tarefas agendadas com logs de criação de processos para confirmar o que realmente é executado.
7. Estabelecer Linha de Base e Comparar: Compare o inventário de tarefas atual com linhas de base conhecidas e confiáveis para identificar tarefas novas, modificadas ou inesperadas.

Consultas de Detecção

Splunk -- Criação de Tarefa Agendada

index=wineventlog EventCode=4698
| spath output=TaskName path=EventData.TaskName
| spath output=TaskContent path=EventData.TaskContent
| where NOT match(TaskName, "(?i)(\\\\Microsoft\\\\|\\\\Windows\\\\)")
| table _time Computer SubjectUserName TaskName TaskContent

Splunk -- Uso Suspeito de Schtasks.exe

index=sysmon EventCode=1 Image="*\\schtasks.exe"
| where match(CommandLine, "(?i)/create")
| where match(CommandLine, "(?i)(powershell|cmd|wscript|cscript|mshta|rundll32|regsvr32|http|https|\\\\temp\\\\|\\\\appdata\\\\)")
| table _time Computer User CommandLine ParentImage

KQL -- Microsoft Sentinel

SecurityEvent
| where EventID == 4698
| extend TaskName = tostring(EventData.TaskName)
| extend TaskContent = tostring(EventData.TaskContent)
| where TaskContent has_any ("powershell", "cmd.exe", "wscript", "http://", "https://", "\\Temp\\", "\\AppData\\")
| project TimeGenerated, Computer, Account, TaskName, TaskContent

Cenários Comuns

1. Persistência do Cobalt Strike: Cria tarefas agendadas via schtasks.exe para executar "download cradles" em PowerShell em intervalos de logon do usuário.
2. Estágio de Ransomware: Tarefa criada para executar o payload de criptografia em um horário futuro, geralmente fora do horário comercial para impacto máximo.
3. Tarefa Oculta via Modificação de SD: Atacante modifica o Descritor de Segurança de uma tarefa agendada para ocultá-la da enumeração normal, mantendo a execução.
4. Abuso de Handler COM: Tarefa usa um handler COM em vez de um caminho de executável direto, tornando a inspeção da ação mais complexa.
5. Movimentação Lateral via Tarefas: Criação remota de tarefas agendadas usando schtasks /create /s REMOTE_HOST para execução em outros sistemas.

Formato de Saída

Hunt ID: TH-SCHTASK-[DATE]-[SEQ]
Host: [Hostname]
Task Name: [Full task path]
Action: [Command/Script executed]
Trigger: [Startup/Logon/Timer/Event]
Created By: [User account]
Created From: [Local/Remote]
Creation Time: [Timestamp]
Run As: [Execution account]
Risk Level: [Critical/High/Medium/Low]