# DET0209 — Detection of Registry Query for Environmental Discovery
## Descrição
Esta estratégia detecta consultas ao registro do Windows para fins de reconhecimento do ambiente — mapeada para [[T1012 — Query Registry]]. Adversários consultam o registro para identificar software instalado, configurações de segurança, configurações de rede, produtos de antivírus, informações de domínio e outros detalhes do ambiente que informam a próxima fase do ataque. As consultas frequentemente visam chaves específicas de alto valor informacional.
A detecção foca em consultas de registro por processos suspeitos a chaves de interesse do atacante: `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\` (software instalado), `HKLM\SYSTEM\CurrentControlSet\Services\` (serviços e drivers), `HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\` (configurações de AV), e `HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\` (informações de SO). O volume e padrão de consultas são mais indicativos do que qualquer consulta individual.
O analytics AN0589 correlaciona: processo realizando consultas de registro em sequência rápida a múltiplas chaves de interesse de reconhecimento, processo pai suspeito (shell, script de terceiro, processo remoto), e correlação temporal com outras atividades de descoberta (execução de `whoami`, `systeminfo`, `net user`).
## Indicadores de Detecção
- Consulta a `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\` por processo não-instalador
- Leitura de `HKLM\SYSTEM\CurrentControlSet\Services\` em varredura por processo de script
- Consulta a chaves de configuração de AV/EDR (`HKLM\SOFTWARE\{vendor de segurança}`) por processo suspeito
- `reg query HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server` verificando RDP habilitado
- Leitura de `HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs` por processo não-explorador
- PowerShell `Get-ItemProperty HKLM:\SOFTWARE\*` iterando sobre múltiplas chaves de software
- Processo remoto (via WMI ou PSRemoting) realizando bulk queries ao registro de sistema
## Técnicas Relacionadas
- [[t1012-query-registry|T1012 — Query Registry]]
- [[t1082-system-information-discovery|T1082 — System Information Discovery]]
- [[t1518-software-discovery|T1518 — Software Discovery]]
- [[t1016-system-network-configuration-discovery|T1016 — System Network Configuration Discovery]]
## Analytics Relacionadas
- [[an0589-analytic-0589|AN0589 — Analytic 0589]]
---
*Fonte: [MITRE ATT&CK — DET0209](https://attack.mitre.org/detectionstrategies/DET0209)*