# DET0569 — Detection Strategy for Downgrade System Image on Network Devices ## Descrição O downgrade de imagem de sistema em dispositivos de rede ([[T1601.002 - Modify System Image Downgrade System Image|T1601.002]]) é uma técnica avançada utilizada por atores de ameaça nacionais para substituir o firmware de roteadores e switches por versões vulneráveis ou modificadas que permitem persistência de longo prazo. Uma versão mais antiga do IOS, NX-OS ou JunOS pode conter vulnerabilidades conhecidas que o adversário sabe explorar, ou pode ser uma imagem trojanizada que bypassa verificações de integridade. Grupos como [[g1017-volt-typhoon]] e APTs ligados a estados-nação têm demonstrado capacidade nessa técnica em infraestruturas críticas. O processo típico envolve: comprometimento inicial via credencial válida ou exploit de interface de gerenciamento, upload da imagem maliciosa via TFTP/SCP, e reboot do dispositivo para aplicar o firmware. A imagem comprometida pode incluir backdoors em serviços de gerenciamento (SSH, SNMP, NETCONF) ou modificações no plano de encaminhamento para interceptação silenciosa de tráfego. A detecção requer estabelecimento de baseline de versão de firmware para todos os dispositivos de rede, com alertas para qualquer mudança não agendada. A verificação de hash criptográfico da imagem ativa (via `verify /sha512`) deve ser executada periodicamente e comparada com hashes públicados pelo fabricante. Logs de TFTP e SCP no dispositivo e no servidor de gerenciamento são fontes primárias de detecção. ## Indicadores de Detecção - Mudança de versão de firmware em dispositivo de rede fora de janela de manutenção aprovada - Transferência TFTP de arquivo `.bin` ou `.image` para dispositivo de rede - Hash da imagem ativa divergindo do baseline documentado para o modelo/versão - Reboot não agendado de roteador ou switch de borda - Acesso à interface de gerenciamento (SSH, console) seguido de operação de escrita de flash - Alerta de integridade de image via `show version` com hash diferente do registrado ## Técnicas Relacionadas - [[T1601.002-modify-system-image-downgrade|T1601.002 — Downgrade System Image]] - [[t1601-modify-system-image|T1601 — Modify System Image]] - [[t1542-pre-os-boot|T1542 — Pre-OS Boot]] - [[t1078-valid-accounts|T1078 — Valid Accounts]] - [[t1565-data-manipulation|T1565 — Data Manipulation]] ## Analytics Relacionadas - [[an1570-analytic-1570|AN1570 — Analytic 1570]] --- *Fonte: [MITRE ATT&CK — DET0569](https://attack.mitre.org/detectionstrategies/DET0569)*