# DET0097 — Detection of Application Window Enumeration via API or Scripting
## Descrição
Esta estratégia detecta a enumeração de janelas de aplicativo como técnica de reconhecimento de ambiente ou preparação para ataques de captura de tela e keylogging direcionado. Adversários utilizam APIs como `EnumWindows`, `FindWindow`, `GetWindowText` e `GetClassName` para identificar aplicações abertas — especialmente browsers, clientes de e-mail, gerenciadores de senhas e aplicações bancárias — antes de direcionar ataques de captura de credenciais ou UI interaction.
A telemetria relevante inclui: chamadas massivas a `EnumWindows` por processos não-GUI (sem janela própria visível), uso de `FindWindowA/W` com strings de busca relacionadas a aplicações financeiras ou de segurança (ex: "MetaMask", "KeePass", "Outlook"), e scripts PowerShell ou VBScript utilizando `[System.Runtime.InteropServices.Marshal]` para enumerar handles de janela. EDR com visibilidade de chamadas de API de usuário (user32.dll) é a fonte primária.
Banker trojans como [[s0531-grandoreiro]] e [[s0528-javali]] — com forte presença no Brasil e LATAM — frequentemente usam esta técnica para detectar aplicações bancárias abertas antes de iniciar overlay de tela ou captura de credenciais. A estratégia deve correlacionar enumeração de janelas com outros indicadores de infostealer como acesso a diretórios de perfil de browser e captura de clipboard.
## Indicadores de Detecção
- Processo sem janela visível realizando >100 chamadas a `EnumWindows` ou `FindWindow` em <10 segundos
- Uso de `GetWindowText` ou `GetClassName` em loop por processos em diretórios temporários
- Scripts PowerShell acessando `[System.Windows.Forms.Form]` ou `user32.dll` para enumeração de janelas
- Busca por títulos de janela contendo nomes de bancos, "MetaMask", "KeePass", "1Password", "LastPass"
- Combinação: enumeração de janelas + acesso a clipboard + leitura de diretório de perfil de browser
- Processos filho de documentos Office ou scripts realizando enumeração de GUI do sistema
## Técnicas Relacionadas
- [[t1010-application-window-discovery]] — Técnica principal
- [[t1056001-keylogging]] — Keylogging frequentemente direcionado por window discovery
- [[t1115-clipboard-data]] — Captura de clipboard combinada com window enumeration
- [[t1113-screen-capture]] — Captura de tela direcionada a janelas específicas
- [[t1417-input-capture]] — Captura de input em plataformas móveis (técnica relacionada)
## Analytics Relacionadas
- [[an0271-analytic-0271|AN0271 — Analytic 0271]]
- [[an0272-analytic-0272|AN0272 — Analytic 0272]]
- [[an0273-analytic-0273|AN0273 — Analytic 0273]]
---
*Fonte: [MITRE ATT&CK — DET0097](https://attack.mitre.org/detectionstrategies/DET0097)*