# AN0580 — Analytic 0580 ## Descrição Este analítico detecta modificações suspeitas no registro sob `HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\*\Driver`, cargas de módulos não padrão ou não assinados pelo `spoolsv.exe`, e uso anômalo da API `AddMonitor` por processos não relacionados à instalação, correlacionado com criação de arquivos em `C:\Windows\System32` fora de patches conhecidos. A telemetria inclui eventos de modificação do registro (Sysmon Event ID 13), logs de carregamento de módulos (Sysmon Event ID 7), auditoria de chamadas de API via ETW e monitoramento de integridade de arquivos em diretórios do sistema. Essa detecção é importante pois a persistência via print monitor é uma técnica furtiva que executa código no contexto do serviço de spooler de impressão (`SYSTEM`), frequentemente usada em ataques de longa duração por grupos APT. **Plataformas:** Windows --- ## Técnicas Relacionadas - [[t1547-boot-or-logon-autostart-execution|T1547 — Boot or Logon Autostart Execution]] - [[t1574-hijack-execution-flow|T1574 — Hijack Execution Flow]] - [[t1055-process-injection|T1055 — Process Injection]] - [[t1543-create-or-modify-system-process|T1543 — Create or Modify System Process]] --- *Fonte: [MITRE ATT&CK — AN0580](https://attack.mitre.org/detectionstrategies/DET0204#AN0580)*