Microsoft Solutions Partner · Modern Work · Security
Empresa brasileira de engenharia
Durante três dias, o próprio usuário de um notebook corporativo tentou obter privilégios de administrador e instalar software não autorizado. Foram tentativas de bypass de UAC via PowerShell, um loader de jogos com driver de kernel vulnerável, um repositório público de bypass de UAC e um script chamado bruteforce.bat. O Microsoft Defender bloqueou todas as tentativas registradas. O laudo forense confirmou: verdadeiro positivo de origem interna, sem atacante externo, sem elevação, sem persistência e sem exfiltração.
Seis processos PowerShell detectados como Behavior:Win32/UACBypassExp.T!gen em dois blocos, com alerta de possível adulteração do AMSI.
Loader de jogos detectado como Trojan:Win64/DriverLoader, baixado três vezes, com drivers .sys embutidos. Técnica conhecida como BYOVD.
Repositório público de bypass de UAC, bruteforce.bat, um script VBS e cópias de utilitários do sistema em Downloads e em mídia removível.
Não houve comprometimento do sistema. O incidente foi tratado como violação da política de uso aceitável, com limpeza dos artefatos remanescentes, verificação completa do dispositivo e tratativa administrativa junto ao gestor do colaborador.
O Microsoft Defender XDR abriu um incidente para um notebook Windows 11 ingressado no Entra ID e, ao longo de dois dias, mesclou a ele outros dois incidentes do mesmo dispositivo. A severidade subiu automaticamente de baixa para média e depois para alta. O usuário associado tinha conta padrão, sem administrador local.
As perguntas para a Frayha eram objetivas: houve elevação, persistência ou exfiltração? Existe um atacante externo? A resposta precisava vir das evidências do dispositivo, com grau de confiança declarado em cada conclusão.
A condução seguiu o ciclo de resposta a incidentes do NIST SP 800-61. O tratamento das evidências observou o NIST SP 800-86 e a ABNT NBR ISO/IEC 27037. Cada conclusão do laudo distingue fato observado de inferência.
| Evidência | Origem | Uso na análise |
|---|---|---|
| Atividades e evidências do incidente | Exportações do Defender XDR | Correlação de alertas, mudanças de severidade, processos, arquivos e URLs |
| Eventos do Defender (1116, 1117, 1121, 5007) | Pacote de investigação MDE | Detecções, remediações, bloqueios ASR e alterações de configuração |
| Logs do motor antimalware | Pacote de investigação MDE | Hashes, quarentena e linhas de comando bloqueadas |
| Prefetch e BAM | Pacote de investigação MDE | Execução de binários com data e hora |
| Processos, serviços, tarefas, autoruns, conexões, DNS e ARP | Pacote de investigação MDE | Persistência, artefatos remanescentes e comunicação ativa |
O Defender for Business, incluído no Microsoft 365 Business Premium, não oferece Advanced Hunting. Por isso a investigação se apoiou no pacote de investigação coletado do próprio dispositivo e na linha do tempo do portal. Com ele, ainda foi possível chegar a conclusões de alta confiança.
D1 = primeiro dia com detecção. Os períodos do dia seguem o horário de Brasília.
Seis prompts de credencial em três minutos. Sem detecção, registrado apenas como antecedente.
Tentativa de instalar o Visual Studio e, minutos depois, primeiro bloco de três processos PowerShell detectados como UACBypassExp.T!gen.
Segundo bloco com mais três processos e alerta de possível adulteração do AMSI. Comportamento bloqueado e registro revertido. Severidade escala para alta.
Execuções repetidas de WSReset.exe e net.exe, padrão compatível com nova tentativa de bypass de UAC. Sem elevação comprovada.
Loader de jogos baixado três vezes e detectado como Trojan:Win64/DriverLoader. A regra ASR de drivers assinados vulneráveis barra o driver embutido. Instalador não homologado aberto dezenas de vezes, também bloqueado por ASR.
Cópias de utilitários do sistema em Downloads e em mídia removível, repositório de bypass de UAC (Trojan:Win32/Vigorf.A) e bruteforce.bat (Trojan:Script/Wacatac). Tudo bloqueado ou quarentenado. Tentativas de instalar Steam e VirtualBox sem elevação.
Versão portátil de um aplicativo de jogos executada em contexto de usuário, sem elevação. Lacuna de controle registrada.
Coleta do pacote de investigação: nenhum processo malicioso ativo e nenhuma conexão suspeita.
Cada pergunta recebeu uma resposta baseada em evidência e um grau de confiança explícito.
| Pergunta | Resposta | Confiança |
|---|---|---|
| Houve elevação de privilégio bem-sucedida? | Não. Nenhuma instalação concluída e o grupo de administradores locais não mudou. | Alta |
| Houve persistência? | Não. Serviços, drivers, tarefas agendadas e autoruns sem itens novos fora do padrão. | Alta |
| Houve exfiltração ou comunicação com C2? | Não identificada. Apenas destinos conhecidos na coleta e DNS sem domínios suspeitos. | Alta |
| Há indício de atacante externo? | Não. Atividade no contexto do próprio usuário, com interação manual. | Alta |
| Qual a motivação provável? | Instalar software pessoal ou não homologado: jogos, virtualização e ferramentas de desenvolvimento. | Média |
| Houve força bruta contra contas locais? | Não verificável. O log de segurança havia sido sobrescrito. | Baixa |
| Verificação | Resultado |
|---|---|
| Administradores locais | Inalterado. O usuário não foi adicionado ao grupo. |
| Serviços, drivers e tarefas | Somente itens de fabricantes conhecidos e de gestão corporativa. |
| Configuração do Defender | Sem alterações. Proteção em tempo real, IOAV, Behavior Monitoring e NIS ativos, sem exclusões novas. |
| Rede | Somente destinos conhecidos: Microsoft, Teams e ferramentas de gestão. |
| Processos ativos | Nenhum malicioso no momento da coleta. |
Verdadeiro positivo, atividade indesejada de usuário interno, contida. Impacto baixo, sem impacto a dados corporativos. O incidente pôde ser encerrado após a limpeza dos artefatos, a verificação completa e a tratativa administrativa.
O Behavior Monitoring detectou seis processos PowerShell em dois blocos no mesmo dia, bloqueou o comportamento e reverteu a alteração feita no registro do usuário. No segundo bloco houve alerta de possível adulteração do AMSI, a interface que permite ao antivírus inspecionar scripts. Um script PowerShell de poucos bytes permaneceu na pasta temporária. Na madrugada seguinte, execuções repetidas de WSReset.exe indicam outra técnica conhecida de bypass de UAC, sem detecção e sem processo elevado.
Um loader de jogos, comprado ou baixado de uma loja online, foi baixado três vezes e classificado como Trojan:Win64/DriverLoader. Ao ser extraído, criou uma pasta com dois drivers .sys embutidos. Loaders desse tipo carregam um driver legítimo, porém vulnerável, para executar código no kernel. A regra ASR de abuso de drivers assinados vulneráveis bloqueou o acesso ao driver e foi determinante para a contenção.
É a mesma técnica usada por operadores de ransomware para desligar o EDR antes da criptografia. Aqui, a combinação de conta padrão sem administrador local e regra ASR interrompeu a cadeia antes do carregamento do driver.
Na mesma noite, o usuário baixou um repositório público de bypass de UAC, criou um script chamado bruteforce.bat e executou um script VBS seguido de prompt de UAC. Cópias de utilitários do sistema em Downloads e em mídia removível foram barradas pela regra ASR de ferramentas de sistema copiadas. No Prefetch aparecem ainda bitsadmin, cmdkey, sc, as configurações de UAC e o editor de registro, sem linha de comando que comprove uso indevido.
Os alvos das tentativas, como plataforma de jogos, VirtualBox, Visual Studio e o loader de jogos, indicam que o objetivo era instalar software pessoal ou não homologado. Nenhum deles chegou a ser instalado. É uma inferência baseada nos nomes dos artefatos e no padrão de horário, com confiança média.
Bloqueios ASR envolvendo utilitários do Git e acessos do sistema ao processo lsass no dia anterior correspondiam a atividade de desenvolvimento e de sistema. As ferramentas de acesso remoto presentes eram de gestão corporativa e não mostraram atividade anômala.
Entraram no mapeamento somente as técnicas sustentadas por evidência, com o status de cada uma.
| Tática | Técnica | Status no caso |
|---|---|---|
| Escalonamento de privilégio | T1548.002Bypass de UAC | Bloqueada (PowerShell e repositório); observada via WSReset, finalidade inferida |
| Execução | T1059.001PowerShell | Bloqueada |
| Execução | T1059.003Windows Command Shell | Bloqueada |
| Execução | T1059.005Visual Basic | Observada, sem evidência de sucesso |
| Comando e controle | T1105Transferência de ferramentas | Observada, artefatos quarentenados |
| Escalonamento de privilégio | T1068Exploração para elevação (BYOVD) | Bloqueada |
| Evasão de defesa | T1562.001Desativar ou modificar ferramentas | Inferida, sem alteração de configuração |
| Evasão de defesa | T1036.003Renomear utilitários legítimos | Bloqueada |
| Evasão de defesa | T1197BITS Jobs | Inferida, sem uso comprovado |
| Acesso a credenciais | T1110Força bruta | Bloqueada, execução não comprovada |
| Controle | O que bloqueou | Resultado |
|---|---|---|
| Conta padrão, sem administrador local | Todas as instalações e tentativas de elevação | Eficaz · controle-chave |
| ASR · drivers assinados vulneráveis | Driver de kernel embutido no loader | Eficaz · determinante |
| Behavior Monitoring | Seis processos de bypass de UAC, com reversão do registro | Eficaz |
| Defender Antivírus | Loader, repositório de bypass e bruteforce.bat | Eficaz · quarentena |
| ASR · prevalência e ferramentas copiadas | Instalador não homologado e cópias de utilitários do sistema | Eficaz |
| Correlação do Defender XDR | Três incidentes mesclados e severidade escalada | Eficaz · visibilidade |
| Lacuna | Efeito observado |
|---|---|
| SmartScreen desligado | Downloads e execuções sem verificação de reputação |
| Log de segurança sobrescrito por auditoria de firewall | Retenção de apenas 18 minutos; falhas de logon não verificáveis |
| Sem Advanced Hunting no licenciamento | Busca retroativa limitada à linha do tempo do dispositivo |
| Nenhuma verificação completa prévia | O dispositivo nunca havia passado por Full Scan |
| Executáveis portáteis não bloqueados | Aplicativo de jogos rodou em contexto de usuário |
| Parte | Impacto |
|---|---|
| Dados corporativos | Nenhum. Sem exfiltração nem comunicação com infraestrutura maliciosa. |
| Dispositivo | Artefatos remanescentes preservados e removidos. Sem persistência nem driver carregado. |
| Pessoas e processos | Violação da política de uso aceitável, tratada com o gestor e o RH. |
Nem todo incidente de severidade alta é um ataque externo. Neste caso, o que impediu um problema real foi o básico bem feito: usuários sem privilégio de administrador, regras ASR ativas e um processo para tratar a violação com o RH, além da limpeza técnica.
Avaliamos privilégios locais, regras ASR, controle de aplicativos e retenção de logs no seu Microsoft 365. Em caso de incidente em andamento, fale direto com a equipe de resposta.
