# AN0540 — Analytic 0540 ## Descrição Este analítico detecta ferramentas ou malware conhecidos sinalizados pelo antivírus no Windows, seguidos no curto prazo pela criação de um binário similar com assinatura modificada e retomada da atividade (execução, C2 ou persistência). A telemetria inclui alertas de antivírus/EDR com quarentena, eventos de criação de arquivos do Sysmon (Event ID 11) em janela de tempo próxima ao alerta, e eventos de execução de processo correlacionados com os novos hashes. Esse padrão indica que adversários estão modificando ativamente suas ferramentas em resposta a detecções, caracterizando um ataque avançado persistente com capacidade de evasão adaptativa. **Plataformas:** Windows ## Técnicas Relacionadas - [[t1027-obfuscated-files-or-information|T1027 — Obfuscated Files or Information]] - [[t1036-masquerading|T1036 — Masquerading]] - [[t1562-impair-defenses|T1562 — Impair Defenses]] - [[t1059-command-and-scripting-interpreter|T1059 — Command and Scripting Interpreter]] --- *Fonte: [MITRE ATT&CK — AN0540](https://attack.mitre.org/detectionstrategies/DET0189#AN0540)*