[Ó qúé~ é úm có~ñtró~ládó~r dé d~ómíñí~ó¿]

[Úm cóñtróládór dé dómíñíó é úm típó dé sérvídór dé cómpútádór qúé réspóñdé às sólícítáçõés dé áútéñtícáçãó dé ségúráñçá é vérífícá ós úsúáríós ñó dómíñíó dé úmá rédé dé cómpútádórés. Ó cóñtróládór é úm gátékéépér párá pérmítír ó ácéssó dó hóst áós récúrsós dó dómíñíó. Élé támbém áplícá pólítícás dé ségúráñçá, ármázéñá ás íñfórmáçõés dá cóñtá dó úsúáríó é áútéñtícá ós úsúáríós ém úm dómíñíó.]

[Ésté blóg áñálísá á ábórdágém qúé ós íñvásórés úsám, dépóís dé óbtér úmá pósíçãó íñícíál ém úm cóñtróládór dé dómíñíó, párá déscóbrír é éñtéñdér úm ámbíéñté áñtés dé sé móvérém látérálméñté. Múítás dás técñícás éfétíváméñté “vívém dá térrá” dé úm éñdpóíñt óú sérvídór párá, évéñtúálméñté, chégár áós cóñtróládórés dé dómíñíó é láñçár úm átáqúé. Ñóssó próxímó póst éxámíñárá álgúmás máñéírás pélás qúáís ós átácáñtés sé móvém látérálméñté é, pór fím, éxplórárémós mítígáçõés párá évítár móvíméñtó látérál.]

[Ós át~ácáñ~tés é~ñcóñ~trám~ úmá m~áñéí~rá dé~ éñtr~ár.]

[Dépóís dé éñtrárém, é úmá qúéstãó dé sé móvér látérálméñté, gérálméñté párá álcáñçár ó cóñtróládór dé dómíñíó á fím dé órqúéstrár úm átáqúé. Dépóís qúé úm íñvásór tém ácéssó á élá, élé é éfétíváméñté úm ádmíñístrádór dé TÍ, pórtáñtó, “vívér dá térrá” ñãó pódéríá sér máís fácíl. Vámós éxámíñár úm átáqúé, súpóñdó qúé úmá víóláçãó séjá á dé qúé úm átácáñté ácábárá éñcóñtráñdó úmá fórmá dé éñtrár.]

[Más príméíró, vámós áñálísár ós cóñtróládórés dé dómíñíó. Vócê próvávélméñté já sábé díssó, más úm sérvídór dé cóñtróládór dé dómíñíó dá Mícrósóft, ó Áctívé Díréctórý, é réspóñsávél pór áútéñtícár ó ácéssó (vérífícár ó lógíñ dós úsúáríós) á úm dómíñíó dó Wíñdóws é áós récúrsós dé rédé ássócíádós. Élé cóñtém úm dírétóríó dé úsúáríós, grúpós é cómpútádórés é é úm répósítóríó dé sérvíçós dé rédé, cómó cómpártílháméñtós dé árqúívós, cómpártílháméñtós dé rédé é ímpréssórás. Úm sérvídór próvísíóñádó cóm ás fúñçõés dós Sérvíçós dé Dómíñíó dó Áctívé Díréctórý sé tórñá úm cóñtróládór dé dómíñíó. Élé támbém é íñstáládó cóm úm sérvídór DÑS párá géréñcíár á résólúçãó dé ñómés é óútrós sérvíçós dé rédé íñtérñós. Émbórá séjám áltáméñté óríéñtádós pór GÚÍ, úm cóñtróládór dé dómíñíó é úm sérvídór dé dírétóríó átívó sãó múító cómpléxós, éspécíálméñté ém úmá rédé córpórátívá típícá, ñá qúál é próvávél qúé hájá váríós párá réplícáçãó é tólérâñcíá á fálhás.]

[Cómó résúltádó dás fúñçõés áltáméñté íñtérlígádás ém úm dómíñíó dó Wíñdóws, ó cóñtróládór dé dómíñíó hóspédá múítós sérvíçós díféréñtés, dépéñdéñdó dó ñúméró dé fúñçõés qúé élé é próvísíóñádó párá désémpéñhár. Fúñçõés cómó DÑS párá résólúçãó íñtérñá dé ñómés, émíssãó dé tíqúétés Kérbérós párá áútéñtícáçãó, blócó dé méñságéñs dó sérvídór, sérvíçós dé cértífícádós é múító máís. Íssó ámplíá ó súpérfícíé dé átáqúé é, dé fátó, éxístém múítós átáqúés cóñtrá cómpóñéñtés cómó:]

• [Úsó d~é cré~déñc~íáís~ dé ló~gíñ úñ~ícó]
• [émís~sãó dé~ bílh~étés~ Kérb~érós~,]
• [Ñómé~s prí~ñcíp~áís d~é sér~víçós~ (SPÑ),]
• [Óbjé~tós d~é pól~ítícá~ dé gr~úpó (G~PÓ),]
• [Cóñf~íáñçá~ é dél~égáçãó~ dó Ác~tívé~ Díré~ctór~ý]
• [RPC é~ SMB.]

[Á máí~óríá~ déss~és át~áqúé~s é fór~témé~ñté f~ácíl~ítád~á pél~á trá~véss~íá dá~ rédé~. Tódó~s éss~és sé~rvíçó~s vêm c~óm pó~rtás~ é pró~tócó~lós á~ssóc~íádó~s.]

[Á tábélá ábáíxó móstrá ás pórtás é ós prótócólós qúé próvávélméñté sérãó úsádós pór úm cóñtróládór dé dómíñíó típícó qúé dévém sér déíxádós ábértós. Íssó éqúíválé á úmá ámplá súpérfícíé dé átáqúé qúé ós málféítórés pódém úsár. Ó désáfíó é qúé, sé décídírmós féchár pórtás párá rédúzír ás súpérfícíés dé átáqúé, ó Áctívé Díréctórý déíxárá dé fúñcíóñár córrétáméñté.]

[Cámí~ñhó p~árá ó~ cóñt~rólá~dór d~é dóm~íñíó]

[Á prémíssá áqúí éstá álíñhádá cóm á fílósófíá dé súpór víóláçãó, qúé ímplícá qúé úm ágéñté dé áméáçás já pódé tér ácéssó ñãó áútórízádó áós séús sístémás óú rédé, émbórá póssívélméñté cóm prívílégíós dé ñívél íñféríór. Pór éxémpló, íssó pódé sér ó cómprómétíméñtó dé úmá cóñtá dé úsúáríó víá phíshíñg íssó pódé, pór súá véz, lévár áó cómprómétíméñtó dó é-máíl cómércíál (BÉC). Íssó támbém ímplícárá qúé ó ágéñté dá áméáçá próvávélméñté éstá téñtáñdó ácéssár úmá cóñtá máís prívílégíádá é, póstéríórméñté, úm sístémá prívílégíádó, cómó ó cóñtróládór dé dómíñíó.]

[Véjá~mós ú~m flú~xó dé~ átáq~úé hí~pótét~ícó s~égúí~ñdó é~ssé p~ádrãó~:]

[Ó átáqúé íñícíál éñvólvé úm é-máíl dé phíshíñg párá úm fúñcíóñáríó. Éssé átáqúé dé phíshíñg cóñtém úm líñk párá úm lógíñ fálsó dó Óffícé 365 ÓñéDrívé, péló qúál ó fúñcíóñáríó sé ápáíxóñá. Ém cóñjúñtó cóm á éxécúçãó dé jáváscrípt é, ém álgúñs cásós, cóm á vúlñérábílídádé, éssé líñk éxécútá áútómátícáméñté úm málwáré qúé úsá sóméñté mémóríá, ápróvéítáñdó ó Wíñdóws Pówérshéll. Íssó éñtãó lévá á úm báckdóór révérsó dé cómáñdó é cóñtrólé (C&C) dó shéll dó láptóp Wíñdóws dó úsúáríó cómprómétídó dé vóltá áó átácáñté. Ésté é ó póñtó dé pártídá párá ésté ártígó 'présúmír víóláçãó'prémíssá.]

[Ó átáqúé áté éssé éstágíó sérá príñcípálméñté áútómátízádó, éñtãó ó átácáñté próvávélméñté récébérá úmá ñótífícáçãó dé C&C sóbré úm ñóvó shéll é, pórtáñtó, sóbré úmá ñóvá máqúíñá cómprómétídá. Élés támbém ígñórárãó príñcípálméñté tódós ós détálhés dó sístémá cómprómétídó, cómó cóñtás dé úsúáríó, prívílégíós é ácéssó á récúrsós dé rédé. É áqúí qúé ó ÁTT&CK Fásé dé déscóbértá é ímpórtáñté párá úm átácáñté.]

[ÁTT&C~K: Dés~cóbé~rtá]

[Qúál~ é á prí~méír~á cóí~sá qú~é vóc~ê préc~ísá f~ázér~ párá~ múdá~r dé ú~m úñíc~ó sís~témá~, séjá~ úm té~rmíñ~ál dé~ fúñc~íóñár~íós ó~ú úmá~ cárg~á dé t~rábá~lhó, p~árá ú~m cóñ~tról~ádór~ dé dó~míñíó~¿]

[Cómó~ dírí~á á ÁT~T&CK ñ~á fás~é dé d~éscó~bért~á, “téñ~té dé~scób~rír ó~ ámbí~éñté~”.]

[Ós ád~vérs~áríós~ cómé~çám éñ~téñd~éñdó~ qúém~ é ó úsú~áríó d~ó sís~témá~, ós pr~ócés~sós é~m éxé~cúçãó, ó~s mém~brós~ dé ár~qúív~ós/dí~rétór~íós/g~rúpó~s é ás~ íñfó~rmáçõé~s dá s~éssãó~.]

[Férráméñtás cómó ó ÑMÁP párá éscáñéáméñtó dé pórtás sãó úmá ópçãó párá tér úmá ídéíá gérál dé qúáís sérvíçós éstãó éscútáñdó ém máqúíñás rémótás qúé élés pódém éxplórár. Álém díssó, ó Blóódhóúñd pódé sér úsádó párá mápéár ó ámbíéñté dó Áctívé Díréctórý párá éñtéñdér ó cámíñhó máís rápídó párá ó cóñtróládór dé dómíñíó.]

[Éssás férráméñtás têm sídó úsádás ém átáqúés, ñó éñtáñtó, élás têm úm désáfíó íñéréñté. Élés chámám múítá átéñçãó párá sí mésmós cómó férráméñtás dé tércéírós qúé gérám tráfégó. Élés sãó fáláñtés é úm táñtó évídéñtés, ó qúé sígñífícá qúé pódém sér détéctádós pélós sístémás dé ségúráñçá.]

[Ós át~ácáñ~tés s~ãó mél~hór á~téñd~ídós~ símp~lésm~éñté~ “vívé~ñdó f~órá d~á tér~rá” qú~áñdó~ têm ác~éssó~ á úm é~ñdpó~íñt ó~ú á úm~á cár~gá dé~ tráb~álhó~ úñíd~á áó d~ómíñí~ó. Dés~sá fó~rmá, é~lés ú~sám f~érrá~méñt~ás qú~é sãó ñ~átív~ás dó~ éñdp~óíñt~ é ñãó g~érám~ ñéñh~úm rú~ídó ñá~ rédé~.]

[Ós át~ácáñ~tés p~ódém~ cómé~çár có~m cóm~áñdó~s CLÍ~ básíc~ós qú~é múí~tós d~é ñós c~óñhé~cémó~s cóm~ó úmá~ máñé~írá f~ácíl é~ dísc~rétá~ dé éñ~téñd~ér óñ~dé és~tãó é ó~ qúé p~ódém~ fázé~r á sé~gúír~.]

[Ém úm~á máqú~íñá c~líéñ~té ás~sócí~ádá á~ úm dó~míñíó~, cómá~ñdós~ cómó~ whóá~mí pé~rmít~írá ó d~éscó~bért~á dó p~rópr~íétár~íó óú~ úsúár~íó dó~ síst~émáé~ móst~ré úm~á sáíd~á sém~élhá~ñté à m~óstr~ádá á~báíx~ó.]

[Íssó pérmíté qúé ó íñvásór críé úm pérfíl dé cóñtá dó sístémá cómprómétídó párá vér á qúé éssá cóñtá tém ácéssó. Úmá rápídá ólhádá ñós grúpós dó Áctívé Díréctórý dós qúáís á máqúíñá fáz párté pérmíté qúé ó íñvásór pércébá qúé ó úsúáríó éstá, pór éxémpló, ñá éqúípé fíñáñcéírá. Élés sábém qúé próvávélméñté térãó ácéssó á cómpártílháméñtós dé árqúívós fíñáñcéírós párá éxplórár óú pódém óptár pór éxámíñár ímédíátáméñté ós árqúívós ñá máqúíñá sé ós dádós fíñáñcéírós sãó ó qúé élés prócúrám.]

[Ó ágéñté dá áméáçá támbém pódé úsár úm cómáñdó símplés, más éfícáz, cómó úsúáríós dá rédé é swítchés ássócíádós, párá déscóbrír ó ñómé dó cóñtróládór dé dómíñíó áó qúál súá máqúíñá cómprómétídá éstá víñcúládá é á lístá dé cóñtás dé úsúáríó qúé éxístém ñó cóñtróládór dé dómíñíó.]

[Á pár~tír d~áqúí~, há úm c~óñjú~ñtó c~láró~ dé dé~tálh~és ím~pórt~áñté~s qúé~ pódé~m ájú~dár ñ~ó cám~íñhó~ áté ó c~óñtr~ólád~ór dé~ dómíñ~íó.]

[Óútrós cómáñdós símplés cóm ós qúáís múítós éstãó fámílíárízádós sãó ípcóñfíg /áll é ñétstát -rñ párá óríéñtár ó átácáñté sóbré ó gátéwáý pádrãó é ás íñfórmáçõés dé rédé, súb-rédé, DÑS é DHCP. Élés támbém pódém vér ó qúé é ácéssívél cóm básé ñá tábélá dé rótéáméñtó. Íssó fórñécé áó átácáñté íñfórmáçõés súfícíéñtés párá críár úm mápá básícó dás cóñéxõés ñó ñívél dá rédé. Élés pódém décífrár sé á máqúíñá cómprómétídá éstá óú ñãó ñá mésmá súb-rédé dó cóñtróládór dé dómíñíó óú dó sérvídór DÑS. Pór éssé mótívó, é ímpérátívó tér úm ábórdágém dé mícrósségméñtáçãó párá ó qúál á ségúráñçá é dépéñdéñté dá cárgá dé trábálhó ém véz dé dépéñdér dá rédé, mésmó ém úmá árqúítétúrá dé rédé pláñá. Ségúráñçá qúé ácómpáñhá á cárgá dé trábálhó cómó úm cóñtróládór dé dómíñíó, íñdépéñdéñtéméñté dá súb-rédé óú lócálízáçãó.]

[Élés~ támb~ém pód~ém dé~cífr~ár sú~b-réd~és é r~ótás~ ádíc~íóñá~ís é s~éús g~átéw~áýs c~órré~spóñ~déñt~és é c~órró~bórá~r éss~ás íñ~fórm~áçõés d~é rót~éámé~ñtó c~óm dé~tálh~és dé~ DÑS r~évér~só dé~, pór é~xémp~ló, ñó~més d~é sér~vídó~rés d~é cóm~párt~ílhá~méñt~ó dé r~édé.]

[Á máíóríá dás órgáñízáçõés úsá cómpártílháméñtós dé rédé párá fúñcíóñáríós dá mésmá éqúípé cómpártílhárém é, às vézés, árqúívárém íñfórmáçõés. Ós ágéñtés dé áméáçás pódém ápróvéítár ós détálhés dó cómpártílháméñtó dé rédé dó Wíñdóws á pártír dé útílítáríós íñtégrádós, cómó úsó líqúídó párá lócálízár sérvídórés dé árqúívós óú áté mésmó cóñtróládórés dé dómíñíó. Élés támbém pódém úsár éssás íñfórmáçõés cómbíñádás cóm qúálqúér cóñtá cómprómétídá óú éscáládá párá ácéssár cómpártílháméñtós dé rédé ócúltós dó Wíñdóws, cómó ÁDMÍÑÍSTRÁÑDÓ $ óú C$. Élés pódém sér úsádós párá fácílítár á própágáçãó dé málwáré párá óútrás máqúíñás pélá rédé SMB lócál óú pór méíó dé úmá cóñéxãó VPÑ dé ácéssó rémótó válídá cóñéctádá á úmá rédé SMB.]

[Cóm éssás íñfórmáçõés, ágórá pódémós vér á qúáís cómpártílháméñtós é sérvídórés témós ácéssó ñó Wíñdóws, ábáíxó. Qúáñdó ó átácáñté tívér úm póúcó máís dé íñfórmáçõés sóbré ó sístémá cómprómétídó sób séú cóñtrólé, élé pódérá fórmúlár ó próxímó pláñó dé áçãó.]

[Ñésté éxémpló, ó úsúáríó é ádmíñístrádór lócál dó láptóp, tém úm ádáptádór VPÑ ñá lístá dé ÑÍCs é úm áplícátívó VPÑ córréspóñdéñté, más ñãó tém ñéñhúm ácéssó dé ádmíñístrádór dé dómíñíó. Cómó ó óbjétívó príñcípál é óbtér ácéssó áó cóñtróládór dé dómíñíó, ó átácáñté tém álgúmás ópçõés, cómó téñtár áúméñtár ós prívílégíós qúé pódém sér úsádós párá móvíméñtós látéráís. Sé ñãó hóúvér óútrás cóñtás préséñtés ñó sístémá párá ás qúáís ós prívílégíós póssám sér áúméñtádós, próvávélméñté élés précísárãó téñtár óbtér éssá cóñtá. Élés pódéríám ápróvéítár á áútéñtícídádé dá cóñtá é dá máqúíñá cómprómétídás párá éñvíár átáqúés dé phíshíñg áíñdá máís dírécíóñádós déñtró dó dómíñíó dé é-máíl dá órgáñízáçãó. Élés támbém pódém cáúsár úmá fálhá ártífícíál ñó sístémá dé déstíñó párá fórçár úm cásó dé súpórté dé TÍ, ó qúé próvávélméñté sígñífícárá úmá séssãó dé ájúdá rémótá cóm úm ádmíñístrádór dé TÍ qúé próvávélméñté “fúñcíóñárá cómó ádmíñístrádór” ñá máqúíñá íñféctádá. Ós ágéñtés dé áméáçás téñdém á sér détérmíñádós é pácíéñtés é ñórmálméñté fázém ó qúé fór précísó párá cóñségúír ó qúé déséjám.]

[É ímpórtáñté óbsérvár qúé, áté ó móméñtó, ñém úsámós récúrsós ñátívós máís pódérósós, cómó ó PówérShéll óú ó WMÍ. Íssó sérvé párá ápóñtár délíbérádáméñté á qúáñtídádé dé íñfórmáçõés qúé áíñdá pódém sér óbtídás ém sístémás ópérácíóñáís légádós é módérñós. Pór éxémpló, ó íñvásór áíñdá pódé téstár á póssíbílídádé dé ácéssó rémótó ñátívó úsáñdó úmá férráméñtá dó sístémá cómó ó PówérShéll párá vér qúáís máqúíñás élés ácéssám rémótáméñté párá ájúdár ñá móvíméñtáçãó látérál é ñá rótáçãó.]

[Ós récúrsós dé cóñtrólé rémótó dó Pówérshéll óférécém máís úmá víá dé déscóbértá é récúrsós dé móvíméñtó látérál cóm cómáñdós cómó Éñtér-PSSéssíóñ é váríós óútrós cmdléts qúé pódém éxécútár ó Ñómé dó cómpútádór párâmétró. Ó príméíró útílízáñdó WíñRM (HTTP 5985 é HTTPS 5986) é ó ségúñdó ó RPC máís óñípréséñté.]

[Éñtéñdémós á ímpórtâñcíá dós cóñtróládórés dé dómíñíó, sábémós qúé ócórréú úmá íñtrúsãó é ágórá éñtéñdémós mélhór cómó ós íñvásórés pódém úsár cómáñdós CLÍ símplés é ás ímpórtáñtés técñícás dé vívér fórá dá térrá (qúé ñãó gérárãó rúídó ém séú éñdpóíñt óú férráméñtás dé ségúráñçá dé rédé vérá) párá óbtér úmá vísãó gérál dá térrá é déscóbrír óñdé élés éstãó ém úm ámbíéñté.]

[Ñóss~ó próx~ímó p~óst é~xámí~ñárá ó~ móví~méñt~ó lát~érál~ qúé ó~s íñv~ásór~és éx~íbém~ ápós á~ désc~óbér~tá, pá~rá ch~égár~ áó có~ñtró~ládó~r dé d~ómíñí~ó.]