Quem é quem nesta história

HANDS4IT

Sou a Hands4IT. Conduzo as simulações de ataque e explico, ponto a ponto, como tudo funciona.

CLIENTE

Sou o Cliente. Disponibilizo o ambiente de testes, acompanho o processo e faço as perguntas.

Objeto

o que vamos fazer

CLIENTE

Afinal, o que exatamente esse serviço faz?

HANDS4IT

1.1Eu executo simulações controladas de ataques cibernéticos no ambiente de testes que você disponibiliza. O objetivo é avaliar a capacidade de detecção e resposta do ambiente, gerar evidências técnicas e, no fim, entregar um relatório de análise de risco.

1.2Uso como base o framework internacional MITRE ATT&CK e referências do NIST, num total de 105 simulações já predeterminadas.

1.3As simulações são determinísticas: cada uma é concebida e mapeada antes para rodar dentro de uma fase específica do MITRE ATT&CK. Não existe geração dinâmica, adaptativa ou autônoma de novas ações durante a execução.

1.4Eu não uso inteligência artificial na execução dos ataques. Assim mantenho controle total do escopo, e tudo fica restrito aos scripts e procedimentos que eu já defini e testei antes.

CLIENTE

E quais são essas simulações? Me mostra o escopo.

HANDS4IT

1.5O escopo é dividido em 6 pacotes. Abre cada prancheta abaixo para ver a descrição e a lista completa de testes.

Pacote 1Antivírus do endpoint22 testes▸

Valida as capacidades do antivírus do endpoint, simulando padrões comuns de ataque com diversas amostras reais de malware. Inclui cenários que testam a eficácia do antivírus (AV) contra ransomware, malware e amostras EICAR comuns, além de "ferramentas de hacker" que normalmente escapam da detecção do AV.

Aqui usamos amostras reais de malware, salvas e gravadas no sistema de arquivos local sem serem executadas. Cada cenário é baixado em formato criptografado, depois salvo em disco já descriptografado e, por fim, uma cópia é criada. Um intervalo de 30 segundos separa cada operação, para dar tempo aos controles de segurança reagirem. Por comparação de hash, determina-se quais amostras foram efetivamente gravadas no endpoint.

O resultado será "Not Prevented" (Não Prevenido) se o arquivo puder ser salvo e copiado e o hash bater com o esperado. Caso contrário, o cenário aparece como "Prevented" (Prevenido). Ao final, todos os arquivos usados na avaliação são imediatamente removidos como parte da limpeza.

Save MiniDuke Malware Sample to File System
Save Etumbot Malware Sample to File System
Save 2020-04 Lazarus Group Operation Dream Job Malicious Office Document to File System
Save 2022-05 Emotet Malicious XLS Delivery Document to File System
Save Emotet (epoch5) 2022-09 DLL File to File System
Save Locky Sample to File System
Save WannaCry Worm Sample to File System
Save Petya Ransomware to File System
Save 2021-07 Conti Ransomware to File System
Save 2021-10 BlackMatter Ransomware Sample to File System
Save TeslaCrypt Ransomware to File System
Save CryptoWall Ransomware to File System
Save CryptoLocker Ransomware to File System
Save 2023-01 Lockbit 3.0 Ransomware Sample to File System
Save Httptunnel Hacktool to File System
Save 2020-12 ZeroLogon Hacktool to File System
Save Hacktool Netcat to File System
Save Hacktool Mimikatz to File System
Save EICAR file to File System
Save Zip EICAR file to File System
Save TXT EICAR file to File System
Save Double Zipped EICAR file to File System

Pacote 2Inspeção de rede / Content Filtering33 testes▸

Valida as capacidades de inspeção de rede, incluindo o download de conteúdo malicioso a partir de redes internas. O conjunto de Filtragem de Conteúdo (Content Filtering) avalia a eficácia das tecnologias responsáveis por inspecionar o tráfego web originado na rede interna.

Alguns Next-Generation Firewalls (NGFWs) oferecem esse recurso, mas frequentemente ele vem por um proxy web ou por um filtro de conteúdo separado. Nos cenários, usa-se conteúdo que tenta baixar amostras de malware a partir de uma infraestrutura hospedada. Se o download tem sucesso, as amostras são imediatamente descartadas, sem serem salvas ou gravadas no disco local. Este conjunto valida a inspeção de rede e não testa bloqueios por categorias de conteúdo inadequado.

Test Web access to Pornography site Pornhub
Test Web access to Hacking site hackthissite.org
Test Web access to Guns site GunsAmerica
Test Web access to Gambling site pokerstars.bet
Download CryptoLocker Ransomware to Memory
Download Locky Sample to Memory
Download Mischa Ransomware to Memory
Download WannaCry Worm Sample to Memory
Download Powerware Ransomware to Memory
Download KeRanger Ransomware to Memory
Download Xorist Ransomware to Memory
Download SynoLocker Ransomware to Memory
Download ODCODC Ransomware to Memory
Download Linux Encoder Ransomware to Memory
Download Rakhni Ransomware to Memory
Download SamSam Sample to Memory
Download SNSLock Ransomware to Memory
Download Petya Ransomware to Memory
Download Lechiffre Ransomware to Memory
Download Maktub Ransomware to Memory
Download 2020-08 CISA Fake PNG Sample to Memory
Download 2023-01 Lockbit 3.0 Persistence Batch File to Memory
Download 2023-01 Lockbit 3.0 Decrypt Batch File to Memory
Download 2023-01 Lockbit 3.0 Ransomware Sample to Memory
Download .BAT File to Memory
Download .PS1 File to Memory
Download .HTA File to Memory
Download .CMD File to Memory
Download .VBS File to Memory
Download .BASH File to Memory
Download .DLL File to Memory
Download .MSI File to Memory
Download .EXE File to Memory

Pacote 3Ransomware Rhysida21 testes▸

A Trend Micro divulgou detalhes de novas atividades do ransomware Rhysida. Os operadores estiveram envolvidos em um ataque à Prospect Medical Holdings, conglomerado de saúde, que afetou 17 hospitais e 166 clínicas nos EUA.

O Rhysida chegou à vítima por iscas de phishing. Depois, o Cobalt Strike foi implantado e executado para auxiliar em Discovery (Descoberta) e Lateral Movement (Movimentação Lateral). O ataque começa com o download e o salvamento de um arquivo ZIP do adversário e continua com a implantação da amostra do Cobalt Strike contida nele, executada por Process Injection (Injeção de Processo) ou Reflective DLL Injection (Injeção Reflexiva de DLL).

Na sequência, o Cobalt Strike obtém informações do sistema (sistema operacional, processos ativos, características da CPU, softwares de segurança instalados e contas de administrador). Antes de implantar o Rhysida, os invasores usaram o script PowerShell SILENTKILL para identificar softwares de segurança e desabilitá-los ou criar regras de exclusão para contorná-los. O script também altera senhas de contas locais, modifica o Firewall local e exclui backups do sistema, para dificultar a recuperação.

Os operadores usaram o PsExec para implantar scripts PowerShell e o próprio payload do Rhysida. Após implantado, o Rhysida lista todos os arquivos de todas as unidades locais do sistema comprometido e criptografa os arquivos com chave RSA de 4096 bits e ChaCha20, acrescentando a extensão ".rhysida".

Process Discovery Through Tasklist
Rhysida File Encryption
Download 2023-05 Rhysida Malicious ZIP Sample to Memory
Discover Security Software (AntiVirusProduct) using WMI Command
Disable Windows Defender via Registry Key using PowerShell
Save 2023-05 Rhysida Malicious ZIP Sample to File System
File and Directory Discovery Script
System Information Discovery Script
Save 2022-09 Cobalt Strike Beacon Sample to File System
Save 2023-08 SILENTKILL Sample to File System
Add Rhysida Firewall Exclusion via "New-NetFirewallRule" PowerShell Command
Reflective DLL Injection
Get CPU Properties Using WMI
Delete created Volume Shadow Copy using "wmic.exe"
Code Injection via Load Library and Create Remote Thread
Clear Windows Event Log via wevtutil.exe
Save 2023-05 Rhysida Ransomware Sample to File System
Set Rhysida User Wallpaper Through Registry using "reg.exe"
Domain Administrator Accounts Discovery Via Net Command Script
Delete created Volume Shadow Copy using "vssadmin.exe"
Scheduled Task Execution

Pacote 4DORA Basic — setor financeiro15 testes▸

As simulações baseadas no DORA foram desenvolvidas para atender aos requisitos do Digital Operational Resilience Act (DORA), aplicáveis ao setor de serviços financeiros. O pacote DORA Basic avalia as funcionalidades essenciais e mínimas dos seus controles de segurança, dando uma compreensão inicial da eficácia deles.

Inclui as táticas, técnicas e procedimentos (TTPs) mais usados por grupos adversários que miram esse setor, contemplando aspectos fundamentais do DORA: Gestão de Riscos de TIC (ICT Risk Management), Gestão de Incidentes (Incident Management) e Testes de Resiliência (Resilience Testing). O objetivo é ajudar a identificar e corrigir lacunas na resiliência digital, promovendo melhoria contínua dos controles e da proteção da organização.

Download Lazagne Sample to Memory
Download PsExec Tool to Memory
Browser Bookmark Discovery Script
Remote System Discovery Script
Get Domain Controller Information through Windows Command Line
Application Bypass using "regsvr32.exe" Script
System Binary Proxy Execution using "ttdinject.exe" Script
Binary Padding (appended 1 extra byte) Script
Binary Padding (appended 101 MB) Script
System Binary Proxy Execution using "msiexec.exe" Script
Stop Windows Defender Service Script
Kerberoasting using PowerShell Empire's Invoke-Kerberoast Script
Dump SAM Registry Hive via "reg save" Command
Dump Certificates using PowerShell Empire's Invoke-Mimikatz Script
Discovery of Cached Credentials using "cmdkey.exe" Command

Pacote 5NIST CSF 2.0 — função "Protect"12 testes▸

Este pacote está alinhado ao NIST Cybersecurity Framework (CSF) 2.0. O objetivo é dar um ponto de partida para organizações que querem avaliar suas capacidades de segurança dentro da categoria "Protect" (Proteger) do NIST CSF. A função Protect é organizada em Funções (Functions), Categorias (Categories) e Subcategorias (Subcategories). Essa abordagem direcionada ajuda a gerenciar os riscos de forma mais eficaz, fortalecendo as proteções fundamentais dos ativos e dados.

Test Web access to Anonymizer site www.proxyway.com
Use Free Web-based Proxy Services
Save TXT EICAR file to File System
Save Zip EICAR file to File System
Save EICAR file to File System
Download TXT EICAR file to Memory
Download Zip EICAR file to Memory
Download EICAR file to Memory
Exfiltrate Files over DNS A Record
Dump Windows Passwords with Original Mimikatz
Dump Passwords using LaZagne
Dump Windows Passwords with Obfuscated Mimikatz

Pacote 6Comportamento suspeito e correlação2 cenários▸

Executamos uma bateria de simulações de comportamento suspeito em um endpoint Windows, gerando ruídos relacionados a acesso HTTP, coleta de informações do sistema, descoberta de processos, serviços, usuários, interfaces e configurações de rede, criação de arquivos com conteúdo simulando ransomware, criação de usuário local, persistência por tarefa agendada e descoberta de hosts/serviços na rede via conexões TCP. O objetivo é produzir eventos e indicadores de comportamento que, isolados, não oferecem perigo, mas que, correlacionados, validam a capacidade de monitoramento, correlação e detecção do sistema.

Também simulamos uma cadeia de persistência baseada em Scheduled Task, usando cmd.exe e um arquivo .bat como payload. A simulação contempla a criação de uma conta local, inclusão dessa conta no grupo Administrators, execução do payload sob o contexto SYSTEM, criação de um arquivo de beacon para evidenciar a execução, consulta da tarefa agendada e posterior exclusão da tarefa, simulando uma tentativa de remoção de rastros.

Reconhecimento do endpoint e da rede, criação de artefatos suspeitos, criação de usuário e persistência.
LOLBin com privilégio administrativo, execução como SYSTEM e limpeza de rastros — ataques com comandos nativos do sistema operacional.

O que este processo NÃO é

expectativas alinhadas

CLIENTE

Isso é um pentest? Vai avaliar toda a minha maturidade de segurança?

HANDS4IT

2.1Não. Para evitar mal-entendido, as duas partes reconhecem e concordam que estas simulações:

a)Não são teste de invasão (pentest);
b)Não são um assessment completo da infraestrutura, da maturidade ou da conformidade de segurança do Cliente;
c)Não têm por objetivo identificar ou explorar vulnerabilidades desconhecidas (zero-day) ou falhas específicas de configuração além do escopo definido;
d)Restringem-se, única e exclusivamente, à execução de simulações objetivas, previamente cadastradas, mapeadas e testadas pela Hands4IT dentro das categorias do MITRE ATT&CK e NIST.

Atenção, Cliente

2.2Qualquer expectativa sua que vá além do descrito nesta Cláusula 2 precisa ser alinhada por escrito com a Hands4IT antes do início das simulações. Sem esse alinhamento, o que estiver fora do escopo contratado fica de fora, e o serviço de simulação pode ser cancelado.

Escopo e limites das simulações

onde roda

CLIENTE

E onde exatamente isso vai rodar?

HANDS4IT

3.1Você decide livremente onde as simulações rodam, em servidores ou em estações de trabalho, respeitando o limite máximo de 5 endpoints Windows, de qualquer versão.

3.2Minha recomendação: use um ambiente isolado do de produção, porém com os mesmos produtos e stacks de cibersegurança que você usa em produção instalados e configurados. Isso inclui, sem se limitar a: antimalware, EDR, XDR, proxy, filtro de conteúdo, firewall, backup, IPS, IDP e SIEM. Assim as simulações refletem, o mais realista possível, a sua defesa efetiva.

3.3A definição final do ambiente e dos endpoints é responsabilidade exclusiva sua. À Hands4IT cabe apenas a orientação técnica do item 3.2.

Responsabilidades do Cliente

antes de começar

HANDS4IT

4.1Antes de começar, você declara estar ciente de que é responsabilidade exclusiva sua:

a)Ter backup atualizado e testado dos dados e sistemas dos endpoints escolhidos;
b)Ter os instaladores, licenças e recursos necessários para reinstalar ou reconfigurar os endpoints, se preciso;
c)Ter total capacidade técnica, com equipe própria ou terceirizada, para restabelecer o ambiente submetido às simulações, caso venha a ser necessário por qualquer motivo;
d)Disponibilizar os endpoints alvo a serem testados nesta simulação.

Isenções importantes

4.2A Hands4IT fica expressa e totalmente isenta de qualquer responsabilidade por recuperação, restabelecimento ou indisponibilidade dos endpoints, sistemas ou dados do Cliente. Essa responsabilidade é única e exclusivamente sua, conforme o item 4.1.

4.3A Hands4IT também fica isenta de qualquer responsabilidade sobre funcionamento, configuração, efetividade, licenciamento ou disponibilidade dos softwares e soluções de segurança que você contrata ou possui: antivírus, EDR, XDR, SIEM, firewall, backup e demais ferramentas do ambiente, além das respectivas licenças de uso.

Processo de execução

o passo a passo

CLIENTE

Na prática, como é a sequência do trabalho?

HANDS4IT

5.1As simulações seguem estas etapas, nesta ordem:

Assinatura do presente Termo de Uso pelas partes.
Preparação, por você, do ambiente de endpoints para as simulações, respeitando o limite da Cláusula 3.
Instalação, pela Hands4IT, dos agentes de detecção e resposta, com liberação de acesso ao console de monitoramento para você acompanhar (módulo de atuação do Blue Team).
Liberação, pela Hands4IT, dos scripts e pacotes de teste a serem executados nos endpoints (módulo de atuação do Red Team).
Execução das simulações previamente definidas.
Acompanhamento, por você, em tempo real, da execução das simulações e dos resultados de detecção e resposta gerados.
Coleta, pela Hands4IT, ao final, dos resultados gerados nos endpoints pelos scripts do Red Team, e dos logs de eventos e incidentes captados pelo módulo de detecção do Blue Team.
Elaboração, pela Hands4IT, de relatório técnico em linguagem executiva, apontando os principais indicadores, os pontos de fraqueza e de força identificados, e recomendações técnicas para cada situação observada.
Entrega do relatório a você, sob a ótica de Purple Team. Fica expressamente estabelecido que você não tem qualquer compromisso ou obrigação de seguir as recomendações do relatório.
Remoção definitiva dos dados coletados ao final das simulações, com exclusão completa do tenant do módulo de detecção e resposta, junto com todos os seus dados ali armazenados. A partir desse momento, não é possível recuperar esses dados.

Prazo

5.2O prazo previsto para a realização completa das simulações, contado da assinatura deste Termo, é de 15 dias, podendo se estender por, no máximo, 30 dias, conforme o escopo e a agenda técnica combinada entre as partes.

Confidencialidade

segredo entre nós

HANDS4IT

6.1As duas partes se comprometem a manter sigilo absoluto sobre qualquer dado, informação, documento ou material acessado por causa das simulações. Isso inclui, sem se limitar a: informações técnicas, operacionais, comerciais e estratégicas das duas empresas.

6.2Esse sigilo abrange expressamente as táticas, técnicas e procedimentos (TTPs) usados, os scripts empregados, os resultados obtidos, as vulnerabilidades e fragilidades identificadas, e quaisquer outras informações sensíveis reveladas por conta deste Termo.

6.3A confidencialidade continua valendo por, no mínimo, 3 anos contados da conclusão das simulações, independentemente do fim da relação entre as partes.

Exceções ao sigilo

6.4Não entram na obrigação de confidencialidade as informações que: (a) sejam ou se tornem públicas sem violar este Termo; (b) já fossem comprovadamente conhecidas pela parte receptora antes da divulgação; (c) sejam exigidas por lei, ordem judicial ou autoridade competente. Nesse último caso, a parte notificada deve avisar a outra antes, quando possível.

Proteção de dados pessoais (LGPD)

Lei 13.709/2018

HANDS4IT

7.1As duas partes atuam em conformidade com a Lei n. 13.709/2018 (LGPD) em tudo que se relaciona a este Termo.

7.2Para os fins da LGPD, os papéis são:

a)O Cliente é Controlador dos dados presentes no seu próprio ambiente e endpoints, e garante que disponibilizar o ambiente para as simulações está de acordo com as suas políticas internas de proteção de dados;
b)A Hands4IT é Operadora em relação aos dados técnicos e eventuais dados pessoais coletados incidentalmente durante as simulações e a geração de logs e evidências, tratando-os única e exclusivamente para a finalidade deste Termo.

CLIENTE

E os meus dados, ficam guardados até quando?

HANDS4IT

7.3A coleta que eu faço se limita ao estritamente necessário para executar as simulações, gerar evidências técnicas e elaborar o relatório da Cláusula 5.

7.4Você tem acesso integral aos dados coletados durante todo o processo, pelo console de monitoramento citado no item 5.1(3).

7.5Conforme o item 5.1(10), todos os dados coletados são permanentemente excluídos ao final, com exclusão completa do tenant do módulo de detecção e resposta. A partir daí, não existe qualquer possibilidade de recuperação.

Propriedade intelectual

de quem é o quê

HANDS4IT

8.1Você reconhece e concorda que toda a inteligência, metodologia, know-how, scripts, softwares, ferramentas, procedimentos e demais ativos intelectuais usados na execução das simulações são de titularidade exclusiva da Hands4IT. Eles não são cedidos, licenciados ou transferidos a você, no todo ou em parte, por causa deste Termo.

8.2Pertencem exclusivamente a você: (a) o relatório final que a Hands4IT produz e entrega pela Cláusula 5; e (b) os endpoints e demais ativos de infraestrutura da sua própria titularidade usados no ambiente de testes.

8.3Nenhuma parte deste Termo deve ser interpretada como concessão a você de qualquer licença, direito de uso, cópia, engenharia reversa ou exploração comercial dos scripts, softwares, metodologias ou procedimentos da Hands4IT.

Limitação de responsabilidade

os limites

Leia com atenção

9.1Sem prejuízo do disposto nas Cláusulas 4, 7 e 8, a Hands4IT não se responsabiliza por danos indiretos, lucros cessantes, perda de dados ou interrupção de atividades do Cliente que não decorram direta e comprovadamente de conduta dolosa ou de negligência grave da Hands4IT na execução estrita do escopo deste Termo.

9.2A responsabilidade da Hands4IT, em qualquer hipótese, fica limitada às obrigações expressamente assumidas neste Termo, observadas as isenções previstas na Cláusula 4.

Vigência e rescisão

início e fim

HANDS4IT

10.1Este Termo entra em vigor na data em que as duas partes assinam e vale até a conclusão das etapas da Cláusula 5, respeitado o prazo máximo do item 5.2. A obrigação de confidencialidade da Cláusula 6 continua valendo por conta própria, mesmo depois disso.

10.2Qualquer das partes pode rescindir este Termo, por comunicação prévia e por escrito, se identificar risco técnico ou operacional relevante e não previsto para continuar as simulações. Nesse caso, a Hands4IT faz, no que for aplicável, a remoção dos agentes e dados instalados no seu ambiente.

Disposições gerais

detalhes finais

HANDS4IT

11.1Em caso de dúvida sobre qualquer ponto deste Termo, a parte deve notificar a outra por escrito. O ideal é esclarecer tudo antes de assinar.

11.2Este Termo representa o entendimento integral entre as partes sobre o assunto e substitui quaisquer entendimentos verbais ou escritos anteriores sobre a mesma matéria.

11.3Alterações a este Termo só valem se forem feitas por escrito e assinadas pelas duas partes.

Foro

onde se resolve

HANDS4IT

12.1As partes elegem o foro da comarca de São Paulo/Capital para resolver quaisquer dúvidas ou controvérsias deste Termo, com renúncia expressa a qualquer outro, por mais privilegiado que seja.

Assinatura eletrônica

assinatura pelo formulário

HANDS4IT

13.1Ao preencher e enviar o formulário eletrônico disponível nesta página, o Cliente assina e aceita integralmente este Termo de Uso e todas as suas condições.

13.2A assinatura eletrônica realizada dessa forma tem plena validade jurídica, nos termos da Medida Provisória n. 2.200-2/2001 e da Lei n. 14.063/2020, que regulam o uso de assinaturas eletrônicas em interações com particulares no Brasil. O Cliente compromete-se a não alegar, em qualquer tempo ou hipótese, invalidade ou inexequibilidade deste Termo unicamente em razão do meio eletrônico utilizado.

CLIENTE

Entendi tudo. Vou preencher o formulário abaixo para assinar os termos.

Simulações de Cibersegurança para Endpoints

Quem é quem nesta história

Objeto

O que este processo NÃO é

Escopo e limites das simulações

Responsabilidades do Cliente

Processo de execução

Confidencialidade

Proteção de dados pessoais (LGPD)

Propriedade intelectual

Limitação de responsabilidade

Vigência e rescisão

Disposições gerais

Foro

Assinatura eletrônica

Fim da história: é só assinar