Pesquisadores de segurança descobriram que os invasores modernos estão abandonando as ferramentas ofensivas tradicionais e, em vez disso, transformando utilitários legítimos do Windows em armas para conduzir ataques cibernéticos sem acionar alarmes de segurança.
Esta mudança de táctica, conhecida como “Living Off the Land”, representa um desafio significativo para as organizações que tentam proteger os seus sistemas.
Living off the Land refere-se ao uso apenas de ferramentas e programas nativos pré-instalados com o Windows para realizar atividades maliciosas.
Em vez de enviar ferramentas de hacking personalizadas como Mimikatz ou Golpe de Cobaltoos invasores usam executáveis legítimos assinados pela Microsoft que os administradores usam todos os dias, como PowerShell, Windows Management Instrumentation (WMI) e certutil.exe.
Essa abordagem é altamente eficaz porque essas ferramentas já estão no sistema, a Microsoft confia nelas e a maioria dos controles de segurança permite explicitamente que sejam executadas.
Os defensores enfrentam uma escolha impossível: bloquear essas ferramentas e quebrar operações comerciais legítimas ou deixá-las e aceitar o risco de segurança.
Por que a detecção tradicional de EDR falha
Os sistemas de detecção e resposta de endpoint são projetados para capturar arquivos maliciosos e ferramentas de hacking conhecidas.
Eles verificam assinaturas de arquivos, monitoram a execução de processos suspeitos e analisam comportamentos incomuns do sistema.
No entanto, esses sistemas lutam para distinguir entre um administrador que usa legitimamente o PowerShell para manutenção de rotina e um hacker usando a mesma ferramenta para roubar credenciais ou navegar pela rede.
“Quando você usa apenas ferramentas integradas, não há nada suspeito para descobrir, porque você está usando ferramentas que deveriam estar lá”, de acordo com os compromissos da equipe vermelha compartilhados na pesquisa de segurança.
A assimetria fundamental que favorece os atacantes reside neste desafio: os defensores devem distinguir entre o uso legítimo e malicioso do mesmo comando com assinaturas idênticas e autenticação válida da Microsoft.
O pesquisador de segurançaIvan Spiridonov tem documentado inúmeras maneiras pelas quais os invasores abusam dos utilitários nativos do Windows:
O PowerShell é usado para reconhecimento, despejo de credenciais e movimentação lateral entre redes. Por ser uma ferramenta confiável da Microsoft, os ataques se misturam às operações normais de TI.
WMI (Windows Management Instrumentation) permite a execução remota de comandos em outros sistemas sem carregar nenhum arquivo ou usar protocolos suspeitos.
Certutil.exe é um utilitário de certificado legítimo que possui capacidade de download de arquivos. Os invasores exploram isso para baixar cargas maliciosas ou exfiltrar dados roubados.
As tarefas agendadas fornecem acesso persistente criando trabalhos de manutenção aparentemente legítimos que executam o código do invasor em horários especificados.
A manipulação do registro por meio de ferramentas nativas do Windows permite que invasores estabeleçam persistência e modifiquem configurações do sistema sem implantar malware personalizado.
As organizações enfrentam uma pressão crescente para detectar esses ataques. A proteção tradicional de endpoints com foco em ameaças baseadas em arquivos é insuficiente.
As equipes de segurança devem implementar registros avançados e análises comportamentais para identificar padrões suspeitos, como PowerShell scripts baixando conteúdo da Internet, WMI criando processos remotos em momentos incomuns ou tentativas excessivas de despejo de credenciais.
A complexidade aumenta porque os falsos positivos são comuns no monitoramento de atividades administrativas legítimas.
Distinguir o comportamento malicioso das operações normais de TI requer recursos de análise sofisticados que muitas organizações não possuem.
Os especialistas em segurança recomendam que as organizações aprimorem seus recursos de detecção habilitando o registro de blocos de scripts do PowerShell, implementando auditoria de processos de linha de comando, monitorando de perto a atividade do WMI e implantando ferramentas avançadas de monitoramento, como o Sysmon, para capturar atividades detalhadas do sistema.
Além disso, as organizações devem aplicar políticas de lista de permissões de aplicativos que vão além do simples bloqueio de arquivos, exigem autenticação multifator para operações confidenciais, implementar segmentação de rede para limitar o movimento lateral e realizar treinamentos regulares de conscientização sobre segurança com foco na proteção de credenciais.
À medida que os invasores continuam a evoluir suas táticas e a adotar ferramentas legítimas do Windows para fins maliciosos, o setor de segurança enfrenta novos desafios na detecção de ameaças.
O futuro da segurança cibernética provavelmente depende de as organizações irem além da detecção baseada em assinaturas em direção a análises comportamentais abrangentes e estratégias de caça a ameaças.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.