Caçando Manipulação de Contas T1098

Visão Geral

O MITRE ATT&CK T1098 (Manipulação de Contas) abrange ações de adversários para manter ou expandir o acesso a contas comprometidas, incluindo adição de credenciais, modificação de associações de grupo, injeção de histórico de SID e criação de contas de administrador sombra. Esta habilidade abrange a detecção dessas técnicas através da análise de logs de eventos de segurança do Windows (IDs de evento 4738, 4728, 4732, 4756, 4670, 5136), correlacionando mudanças de associação de grupo com indicadores de escalonamento de privilégios e identificando padrões anômalos de modificação de conta.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por manipulação de contas T1098.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Logs de Eventos de Segurança do Windows (formato EVTX) ou acesso a SIEM.
• Python 3.9+ com as bibliotecas python-evtx e lxml.
• Compreensão da estrutura de grupos do Active Directory e da arquitetura de SID.
• Familiaridade com as sub-técnicas T1098 do MITRE ATT&CK.

Passos

Passo 1: Analisar Eventos de Modificação de Conta

Extrair os IDs de evento 4738 (conta de usuário alterada), 4728/4732/4756 (membro adicionado a grupos de segurança) e 5136 (objeto de serviço de diretório modificado).

Passo 2: Detectar Mudanças em Grupos Privilegiados

Marcar adições aos grupos Domain Admins, Enterprise Admins, Schema Admins, Administrators e Backup Operators.

Passo 3: Identificar Indicadores de Administrador Sombra

Detectar contas recebendo proteção AdminSDHolder, atribuição direta de privilégios ou injeção de histórico de SID.

Passo 4: Correlacionar com a Linha do Tempo do Ataque

Cruzar as mudanças de conta com eventos de autenticação para identificar o comprometimento inicial e o estabelecimento de persistência.

Saída Esperada

Relatório JSON com eventos de manipulação de conta detectados, mudanças em grupos privilegiados, indicadores de administrador sombra e correlação de linha do tempo.