[Lévé~-mé áó~ séú c~óñtr~ólád~ór dé~ dómíñ~íó: có~mó ós~ íñvá~sóré~s sé m~óvém~ láté~rálm~éñté~ péló~ séú á~mbíé~ñté]

[Dáñ G~óúld~ támb~ém cóñ~tríb~úíú p~árá é~stá p~óstá~gém.]

[Ñá príméírá párté déstá séríé dé blógs, vímós díféréñtés máñéírás pélás qúáís úm ágéñté dé áméáçás pódé réálízár á fásé dé déscóbértá dá éstrútúrá ÁTT&CK párá óbtér úmá vísãó gérál ápós úmá íñfécçãó íñícíál. Íssó fórñécé íñfórmáçõés ímpórtáñtés sóbré á rédé é ó dómíñíó, mésmó cóm prívílégíós dé dómíñíó pádrãó. Támbém óbsérvámós álgúñs dós cómpóñéñtés úsádós pór úm cóñtróládór dé dómíñíó qúé pódém sér átácádós dírétáméñté óú ápróvéítádós cómó párté dé úm átáqúé.]

[Áqúí~, vámó~s élá~bórá~r íss~ó pár~á mós~trár~ éxém~plós~ dé át~áqúé~s é fé~rrám~éñtá~s qúé~ pódé~m sér~ úsád~ás có~ñtrá~ éssé~s cóm~póñé~ñtés~ párá~ éxéc~útár~ á próx~ímá f~ásé d~é úm á~táqú~é: móv~íméñ~tó lá~térá~l.]

[Cóm éssás íñfórmáçõés útéís, cómó ás móstrádás ñá póstágém áñtéríór ñá fásé dé déscóbértá, ó ágéñté dá áméáçá ágórá pódé téñtár cóm cóñfíáñçá úm móvíméñtó látérál ñó cámíñhó áté ó cóñtróládór dé dómíñíó. Ñó éñtáñtó, élés précísárãó dás crédéñcíáís ñécéssáríás, dós sístémás dé déstíñó íñtérmédíáríós é dás íñfórmáçõés dós cómpóñéñtés, cómbíñádós cóm ás férráméñtás dé átáqúé córréspóñdéñtés, párá álcáñçár séú álvó fíñál.]

[ÁTT&C~K: Móv~íméñ~tó lá~térá~l]

[Ó móvíméñtó látérál, éspécíálméñté ém úm dómíñíó Wíñdóws, pódé ócórrér ém dóís ñívéís. Príméíró, ó ñívél dó áplícátívó, ém qúé ó íñvásór pódé úsár técñícás báséádás ém crédéñcíáís, cómó páss-thé-hásh óú páss-thé-tíckét, ó qúé, pór súá véz, ápróvéítá ó ñívél dá rédé ém qúé élé réálméñté sé móvé dé úmá máqúíñá párá óútrá áté ó álvó fíñál, qúé ñésté cásó é ó cóñtróládór dé dómíñíó.]

[Íssó~ ñós l~évá às~ técñí~cás b~áséá~dás é~m cré~déñc~íáís~.]

[Técñí~cás b~áséá~dás é~m cré~déñc~íáís~ párá~ móví~méñt~ó lát~érál~]

[Fráñ~cámé~ñté, q~úáñd~ó ás c~rédé~ñcíá~ís dé~ ádmí~ñíst~rádó~r dó d~ómíñí~ó sãó d~éscó~bért~ás, ó c~óñtr~ólád~ór dé~ dómíñ~íó ñó~rmál~méñt~é ést~á á úm p~rómp~t dé c~ómáñ~dó dé~ díst~âñcíá~.]

[Ós íñvásórés búscám déspéjár crédéñcíáís ármázéñádás ém cáché ém lócáís cómúñs, cómó ó Sérvíçó dé Súbsístémá dá Áútórídádé dé Ségúráñçá Lócál (LSÁSS), úsádás párá áútéñtícár úsúáríós, lógíñs é pérmíssõés ñó Wíñdóws. Pór qúé ás crédéñcíáís (séñhás é tíckéts cóm hásh) sãó máñtídás ñá mémóríá¿ Párá ó lógíñ úñícó, é párá qúé ós úsúáríós ñãó précísém sé áútéñtícár ñóváméñté ó témpó tódó.]

[Sé ós átácáñtés tívérém sórté, élés cómprómétém úm sístémá qúé áíñdá tém lógíñs dé ádmíñístrádór áñtéríórés ñá mémóríá. Éssás crédéñcíáís dé lógíñ pódém sér óbtídás cóm ó Mímíkátz óú férráméñtás símílárés dé sóñdágém dé mémóríá LSÁSS. Cómó vócê já sábé, ó Mímíkátz é férráméñtás símílárés pérmítém qúé ós ágéñtés dé áméáçás éñcóñtrém é éxtráíám crédéñcíáís dé áútéñtícáçãó, cómó háshés ÑTLM é íñfórmáçõés dé tíqúétés Kérbérós, dá mémóríá kérñél dé úm cómpútádór ém éxécúçãó úsádá péló LSÁSS.]

[Ó éxé~mpló~ ábáí~xó mó~strá~ ó dés~péjó~ dé cr~édéñ~cíáí~s úsá~ñdó ó~ Mímí~kátz~.]

[Ñá máíóríá dós cásós, á cóñtá íñícíálméñté cómprómétídá só précísá sér úmá cóñtá dé ádmíñístrádór lócál ñá máqúíñá Wíñdóws párá pódér éxécútár cóm êxító férráméñtás cómó ó Mímíkátz. Íssó sígñífícá qúé élé térá ós prívílégíós ñécéssáríós, cómó ó prívílégíó dé dépúráçãó dó Wíñdóws, párá lér ó kérñél óú á mémóríá prívílégíádá párá cértós prócéssós crúcíáís dó Wíñdóws, cómó ó LSÁSS. Cóñfórmé méñcíóñádó áñtéríórméñté, ós dómíñíós dó Wíñdóws dépéñdém múító dó récúrsó dé lógíñ úñícó párá óférécér úmá éxpéríêñcíá qúásé pérféítá párá úsúáríós é máqúíñás qúé sólícítám récúrsós ém tódó ó dómíñíó. Párá fácílítár íssó, ó Wíñdóws tém úsádó á cápácídádé dé ármázéñár crédéñcíáís cóm hásh ñá mémóríá é, ñás vérsõés máís áñtígás, séñhás dé téxtó símplés ñá mémóríá. Éssá é úmá dás príñcípáís máñéírás pélás qúáís férráméñtás cómó ó Mímíkátz cóñségúém récúpérár háshés ÑTLM é, ém álgúñs cásós, séñhás dé téxtó símplés párá técñícás cómó átáqúés páss-thé-hásh é páss-thé-tíckét.]

[Véjá~ cómó~ é ó dés~péjó~ dé tíq~úété~s Kér~béró~s dá m~émórí~á:]

[Óútrá férráméñtá qúé pódé sér úsádá párá átáqúés rélácíóñádós á tíckéts Kérbérós é ó Rúbéús. Élé tém récúrsós cómó sólícítáçõés dé tíqúétés Kérbérós, qúé récúpérám úm Tíckét-Gráñtíñg-Tíckét (TGT) cóm básé ñá séñhá/hásh dé úm úsúáríó ém úmá íñstâñcíá óú cóm básé ñó ármázéñáméñtó dé cértífícádós dé úm úsúáríó. Ó Rúbéús támbém pódé sér úsádó párá ábúsár dá délégáçãó réstrítá ém dómíñíós dó Wíñdóws éxécútáñdó á délégáçãó réstrítá dé sérvíçó párá úsúáríó (S4Ú) ém úm dómíñíó éspécífícó óú áté mésmó éñtré dómíñíós ém úmá flóréstá.]

[Ñó éxémpló ábáíxó, pódémós vér qúé ó ágéñté dá áméáçá é cápáz dé déspéjár íñfórmáçõés dé hásh dé crédéñcíáís dá mémóríá é lócálízár úm ñómé dé cóñtá éspécífícó ídéñtífícádó cómó úmá cóñtá dé ádmíñístrádór. Éssá cóñtá éstárá préséñté pórqúé élá téríá sé cóñéctádó à máqúíñá ém álgúm móméñtó.]

[Éssé~ désp~éjó é~spéc~ífícó~ támb~ém íñc~lúír~á íñfó~rmáçõé~s cóm~ó ó sé~rvíd~ór dé~ lógó~ñ ñó d~ómíñí~ó. Íss~ó pód~é sér~ córr~óbór~ádó c~óm ás~ íñfó~rmáçõé~s cól~étád~ás dú~ráñt~é á fá~sé dé~ désc~óbér~tá pá~rá có~ñfír~már ó~ cóñt~rólá~dór d~é dóm~íñíó d~é dés~tíñó~.]

[Ñó éxémpló ábáíxó, dó “ádmíñístrádór dé TÍ” Ó hásh ÑTLM dá cóñtá qúé fóí déscártádó áñtéríórméñté, cóñségúímós pássár éssé hásh párá íñícíár úm ñóvó prócéssó cmd dó Wíñdóws cóm ó tókéñ prívílégíádó dé ádmíñístrádór élévádó. Íssó sígñífícá qúé ó ñóvó prócéssó cmd pódé réálízár áçõés ñó cóñtéxtó dé úmá cóñtá prívílégíádá, mésmó qúé ó úsúáríó réál cóñéctádó téñhá ápéñás díréítós dé ádmíñístrádór lócál ñá máqúíñá cómprómétídá.]

[Éssé ñóvó prócéssó sérá éxécútádó cóm ó tókéñ élévádó “ítádmíñ”, ó qúé sígñífícá qúé pódémós úsá-ló párá éxécútár óútrás férráméñtás dé ácéssó rémótó párá dírécíóñár é cóñéctár-sé áó cóñtróládór dé dómíñíó pélá rédé. Ñá ímágém ábáíxó, pódémós vér qúé, ápós úm átáqúé bém-súcédídó dé páss-thé-hásh, úmá férráméñtá sécúñdáríá, cómó á dó pówér ádmíñ Ápéxéc pódé sér úsádó párá réálízár ó réstó dó átáqúé cóñéctáñdó-sé rémótáméñté áó cóñtróládór dé dómíñíó. Ó cómáñdó hóstñámé ñá ímágém cóñfírmá ó móvíméñtó látérál bém-súcédídó ñós ñívéís dó áplícátívó é dá rédé.]

[Pódémós vérífícár ós sérvíçós ém éxécúçãó ñá máqúíñá cóñtróládórá dé dómíñíó párá vérífícár sé ó PÁÉxéc féz úmá cóñéxãó cóm úm prócéssó córréspóñdéñté. Á técñícá páss-thé-hásh úsádá párá gérár ó tókéñ élévádó péló ádmíñístrádór ñó láptóp cómprómétídó, qúé fóí éñtãó úsádá párá éxécútár á férráméñtá dé géréñcíáméñtó rémótó PÁÉxéc, tévé súcéssó, cóñfórmé móstrádó ñá ímágém ábáíxó.]

[Éssá é úmá démóñstráçãó símplés dé cómó ós íñvásórés pódém sé móvér látérálméñté, dó ñívél dó áplícátívó (róúbó dé crédéñcíáís ñá mémóríá dó prócéssó) párá ó ñívél dá rédé (trávéssíá dé máqúíñá smb, msrpc óú http), párá átíñgír ó álvó fíñál — ó cóñtróládór dé dómíñíó.]

[ÁTT&C~K: Ímp~áctó~]

[Ñéssé póñtó, dépóís dé ácéssár ó cóñtróládór dé dómíñíó, ó íñvásór éstá ñó cómáñdó. Élés pódém cóñtíñúár cópíáñdó árqúívós málícíósós ádícíóñáís párá ó cóñtróládór dé dómíñíó rémótáméñté. Pór éxémpló, ágórá élés pódéríám cópíár ó Mímíkátz ñó cóñtróládór dé dómíñíó é úsá-ló párá éxtráír ó hásh dá cóñtá dé úsúáríó KRBTGT émbútídá — álém dé óútrás íñfórmáçõés dé dómíñíó — párá íñícíár ó átáqúé Góldéñ Tíckét. Íssó pódé éñtãó sér úsádó párá átáqúés “páss-thé-tíckét” ém tódó ó dómíñíó.]

[Ó íñvásór pódé áté mésmó úsár ás férráméñtás já éxístéñtés, vívéñdó fórá dá térrá, párá ímpláñtár álgó cómó ráñsómwáré é sé cóñéctár á óútrós sérvídórés cóñfídéñcíáís, cómó sérvídórés dé báñcó dé dádós óú dé áplícátívós, párá éxtráír áíñdá máís ós dádós. Íssó pódé sér PsÉxéc, PówérShéll, SCCM — qúálqúér férráméñtá dé ádmíñístráçãó dé TÍ qúé póssá ímpláñtár sóftwáré.]

[Dépéñdéñdó dá sófístícáçãó dó átáqúé, úm íñvásór pódé úsár tódás ás férráméñtás pérsóñálízádás óú éxécútár ó códígó sóméñté ñá mémóríá, dé módó qúé á áñálísé dé ássíñátúrás dé férráméñtás cómó ó Mímíkátz sé tórñá dífícíl párá qúálqúér férráméñtá dé ségúráñçá détéctár é évítár. Dá mésmá fórmá, á áñálísé cómpórtáméñtál támbém pódé cóñsúmír múítós récúrsós, pórtáñtó, éssás técñícás dé áñálísé pódém sér désátívádás, éspécíálméñté ém ámbíéñtés dé sérvídórés óú sístémás ópérácíóñáís légádós qúé éxécútám áplícátívós ésséñcíáís légádós.]

[Ássí~stá à ñ~óssá~ próxí~má pó~stág~ém qú~é éxá~míñá~ ás mí~tígá~çõés dé~ssés~ átáq~úés.]