Initial Access Simulado: Macros, LNK e ISO em Lab Windows 11 Isolado

O acesso inicial e onde a maioria das invasoes reais comeca, e e a fase que os defensores entendem pior porque raramente conseguem observa-la com seguranca. A resposta e um laboratorio totalmente isolado onde voce reproduz as tecnicas de entrega que os atacantes realmente usam, macros, atalhos LNK e conteineres ISO, contra uma maquina Windows 11 instrumentada que e sua, para ver a telemetria que cada uma produz e escrever as deteccoes que as pegam. Este guia da equipe Basilisk e defensivo por design: cada payload aqui e uma prova de execucao benigna (abre a calc ou escreve um arquivo marcador) e tudo roda air-gapped. O objetivo nao e construir malware, e entender a cadeia de entrega bem o suficiente para quebra-la.

Por que simular acesso inicial afinal

Voce nao consegue escrever uma boa deteccao para uma tecnica que nunca viu disparar. Fornecedores entregam regras genericas, mas o seu ambiente tem sua propria linha de base de atividade normal do Office, seu proprio EDR, seus proprios buracos de logging. Reproduzir a tecnica num laboratorio responde as unicas perguntas que importam: que arvore de processos ela cria, que linha de comando, que escritas de arquivo, que callback de rede e quais deles seus sensores realmente registram. E pratica padrao de red team e purple team, mapeia direto para tecnicas do MITRE ATT&CK sob Initial Access (T1566 Phishing) e Execution (T1204 User Execution), e e o caminho mais rapido para transformar um medo vago numa regra concreta e testavel.

Construir o laboratorio Windows 11 isolado

Suba uma VM de Windows 11 no VirtualBox ou Hyper-V com um unico adaptador host-only e sem rota para a internet; simulacoes de entrega nunca podem alcancar um host de command-and-control real. Instale o Sysmon com uma configuracao bem ajustada (as configs base do SwiftOnSecurity ou do Olaf Hartong sao o ponto de partida padrao), habilite o logging de script block e de modulos do PowerShell via diretiva de grupo, e coloque o Windows Defender em modo auditoria para ver o que ele teria bloqueado sem interferir na sua telemetria. Snapshote o estado limpo antes de cada corrida. Uma segunda VM Linux pequena na mesma rede host-only atua como host de payload falso e ponto de coleta de Sysmon para Sigma, para que nada saia do lab.

Vetor um: macros VBA

O classico macro de documento Office ainda ensina o mais. Construa um documento cujo handler Document_Open ou Workbook_Open simplesmente lance calc.exe ou escreva %TEMP%\marker.txt. O interessante nao e o macro, e a telemetria: o Sysmon Event ID 1 mostrara winword.exe gerando um processo filho, o sinal de execucao de macro mais confiavel, porque Office gerando cmd, powershell ou wscript quase nunca e legitimo. Como a Microsoft agora bloqueia macros em arquivos marcados com a zona de internet por padrao, observe como o mark-of-the-web no arquivo baixado muda o comportamento, que e exatamente por que os atacantes pivotaram para conteineres, tratados abaixo.

Vetor dois: arquivos de atalho LNK

Um atalho do Windows pode carregar um alvo e argumentos arbitrarios enquanto exibe um icone inocente, o que o torna um wrapper de entrega moderno predileto. No lab, crie um .lnk cujo alvo seja powershell.exe com um argumento inofensivo que escreva seu arquivo marcador, e observe a arvore de processos: explorer.exe lancando powershell.exe com uma linha de comando suspeita e a ancora de deteccao. Observe os campos que distinguem um atalho armado de um normal, uma linha de comando superdimensionada, um alvo que nao bate com o icone, argumentos com strings codificadas ou tipo download, e registre quais deles a sua config do Sysmon captura para construir uma regra Sigma em torno dos confiaveis.

Vetor tres: conteineres ISO e IMG

Os atacantes migraram para conteineres ISO, IMG e VHD justamente porque montar um e executar um arquivo dentro historicamente nao propagava o mark-of-the-web ao conteudo, driblando as protecoes de macro e SmartScreen. No lab, empacote um LNK ou script benigno dentro de um ISO, monte-o e observe como a execucao se origina de uma letra de unidade de volume montado em vez da pasta Downloads. As deteccoes aqui sao conscientes do conteiner: um processo lancado a partir de um ISO recem-montado, ou um filho de explorer.exe originado de uma unidade que apareceu segundos antes, sao sinais fortes. Builds recentes do Windows propagam o mark-of-the-web para os conteineres, entao teste tambem o comportamento corrigido e confirme que suas defesas assumem ambos.

Engenharia de deteccao com Sysmon e Sigma

Transforme cada comportamento observado numa regra. As deteccoes de maior valor desses tres vetores sao: aplicacoes Office (winword, excel, powerpnt) gerando um shell ou host de scripting; explorer.exe lancando powershell/wscript com uma linha de comando codificada ou tipo download; e execucao de processo cujo caminho de imagem e um volume removivel ou de conteiner montado. Escreva essas como regras Sigma contra o Sysmon Event ID 1, faca deploy no seu SIEM e rode as simulacoes de novo para confirmar que cada uma dispara e produz baixa taxa de falso-positivo contra sua linha de base de atividade normal. Uma deteccao que voce nao disparou no lab e uma hipotese, nao um controle.

Mitigacao: fechar a cadeia de entrega

Deteccao e metade do trabalho; a outra metade e fazer a tecnica falhar. Habilite as regras de Attack Surface Reduction da Microsoft, especialmente bloquear todas as aplicacoes Office de criar processos filhos e bloquear conteudo executavel de e-mail e webmail, o que neutraliza o vetor de macro diretamente. Mantenha macros de arquivos da zona de internet bloqueados por politica, e use o comportamento mais novo do Windows que propaga o mark-of-the-web para os conteineres montados. Restrinja ou logue a execucao de .lnk e hosts de script, faca deploy de application control (WDAC ou AppLocker) para que scripts e binarios nao assinados de caminhos gravaveis pelo usuario nao rodem, e confirme cada mitigacao no lab rodando de novo a simulacao correspondente e vendo-a bloqueada.

Pegadinhas comuns num lab de entrega

Os erros recorrentes: dar a VM Windows qualquer caminho de rede real, de modo que um payload mal digitado pudesse de fato sair; testar com o Defender totalmente habilitado de modo que ele bloqueie a amostra antes de voce estudar sua telemetria (use modo auditoria em vez disso); esquecer de snapshotar e perder sua linha de base instrumentada; e tirar conclusoes de uma unica corrida em vez de confirmar que a deteccao dispara de forma confiavel atraves de reboots e contextos de usuario. A armadilha mais sutil e testar apenas o comportamento sem correcao: se o seu build do Windows e antigo, voce vera buracos de mark-of-the-web que os endpoints modernos ja nao tem, e suas regras ficarao ajustadas para um modelo de ameaca que ja mudou.

Checklist do lab

Antes de declarar o exercicio pronto, verifique: a VM Windows 11 esta em host-only sem rota para a internet; Sysmon, logging de script block e modo auditoria do Defender estao ativos; existe um snapshot limpo; os tres vetores (macro, LNK, ISO) foram rodados e suas arvores de processos capturadas; pelo menos tres regras Sigma estao escritas, deployadas e confirmadas disparando; as regras ASR e application control foram habilitadas e cada mitigacao verificada por uma re-execucao bloqueada; e todo payload usado foi benigno. Se um vetor nao produziu telemetria, sua instrumentacao e o achado, conserte antes de seguir.

FAQ: Rodar essas simulacoes e legal e seguro?

Sim, quando e inteiramente dentro de um lab que e seu com payloads benignos e sem command-and-control real. As tecnicas estao documentadas no MITRE ATT&CK e sao usadas diariamente por equipes defensivas. O que cruza a linha e entregar qualquer um desses a uma pessoa ou sistema que voce nao esta autorizado a testar, ou usar um payload vivo que telefona para casa. Mantenha air-gapped, mantenha os payloads inofensivos e mantenha scope escrito se um dia mover isto para um engagement autorizado contra um ambiente real.

FAQ: Preciso de um EDR real para aprender isto?

Nao. Sysmon mais logging de PowerShell mais Defender em modo auditoria te da a telemetria central de graca, e as regras Sigma se traduzem para a maioria dos SIEMs e EDRs depois. Um EDR comercial adiciona sinais mais ricos de linhagem de processos e de memoria, o que vale a pena adicionar assim que voce entende os fundamentos, mas comecar com o stack gratuito te forca a entender exatamente qual evento prova qual comportamento, e esse entendimento se transfere para qualquer ferramenta.

Rodar como um exercicio de purple team

O lab alcanca seu valor pleno quando voce para de trata-lo como pratica solo e o roda como um exercicio de purple team, com alguem no papel de atacante e alguem no de defensor contra a mesma telemetria. Mapeie cada um dos tres vetores para sua tecnica do MITRE ATT&CK para que os dois lados falem uma unica lingua: T1566.001 para o anexo com macro, T1204.002 para o usuario que da duplo clique num arquivo malicioso, e T1027 para a ofuscacao que o conteiner adiciona. O atacante roda um vetor sem aviso; o defensor trabalha apenas a partir do SIEM e tenta reconstruir o que aconteceu, depois os dois comparam notas contra a verdade de campo que voce capturou. Esse exercicio traz a tona as lacunas que nenhum checklist encontra: um alerta que disparou mas ninguem triou, um campo de arvore de processos que o seu dashboard esconde, uma deteccao que dispara no teste benigno mas se afogaria em falso-positivos em escala. Acompanhe cada lacuna como um ticket com responsavel, rode de novo apos o fix, e voce tem um ciclo de feedback mensuravel em vez de uma demo unica. Em poucos ciclos, e assim que um time passa de reagir a alertas para entender de verdade sua propria superficie de ataque, que e todo o sentido de simular acesso inicial.

Takeaway pratico: construa o lab Windows 11 isolado, rode entrega por macro, LNK e ISO com payloads benignos, capture as arvores de processos e transforme cada uma numa deteccao Sigma que voce confirme disparar de verdade. Depois habilite ASR e application control e prove que cada vetor fica bloqueado. Faca isso a cada trimestre a medida que a plataforma muda, porque a propagacao do mark-of-the-web e o bloqueio de macros por padrao continuam movendo o terreno. Acesso inicial simulado nao e sobre iscas melhores, e sobre conhecer sua cadeia de entrega tao bem que nenhuma real passe despercebida pelos seus sensores.