Caçando Instalações de Serviços Incomuns

Visão Geral

Atacantes frequentemente instalam serviços maliciosos no Windows para persistência e escalonamento de privilégios (MITRE ATT&CK T1543.003 — Criar ou Modificar Processo do Sistema: Serviço do Windows). O Event ID 7045 no log de eventos do Sistema registra cada nova instalação de serviço. Esta habilidade analisa arquivos de log .evtx para extrair eventos de instalação de serviço, sinaliza caminhos de binários suspeitos (diretórios temporários, PowerShell, cmd.exe, comandos codificados) e correlaciona com padrões de ataque conhecidos.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por instalações de serviços incomuns
• Ao construir regras de detecção ou consultas de threat hunting para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Python 3.9+ com python-evtx, lxml
• Arquivos de log de eventos do Sistema do Windows (.evtx)
• Acesso ao log de eventos do Sistema em tempo real (opcional, para monitoramento em tempo real)
• Logs do Sysmon para rastreamento aprimorado de processos (opcional)

Passos

1. Analisar System.evtx para o Event ID 7045 (novo serviço instalado)
2. Extrair nome do serviço, caminho do binário, tipo de serviço e conta
3. Sinalizar serviços com caminhos de binários suspeitos (diretórios temporários, comandos codificados)
4. Detectar padrões de criação de serviço baseados em PowerShell
5. Identificar serviços executando como LocalSystem com caminhos incomuns
6. Cruzar informações com linhas de base de serviços legítimos conhecidos
7. Gerar relatório de threat hunting com mapeamento para MITRE ATT&CK T1543.003

Saída Esperada

• Relatório JSON listando todas as novas instalações de serviços com pontuações de risco, indicadores suspeitos e recomendações de remediação
• Linha do tempo de eventos de instalação de serviço com análise do caminho do binário