# T1078 - Valid Accounts ## Descrição **T1078 - Valid Accounts** é uma das técnicas mais amplamente utilizadas no arsenal de adversários modernos - tanto APTs patrocinados por estados quanto grupos de crime organizado. A técnica consiste na obtenção e uso abusivo de credenciais legítimas de contas existentes para ganhar acesso inicial, estabelecer persistência, escalar privilégios ou evadir detecção. Credenciais comprometidas permitem que adversários contornem controles de acesso em recursos da rede e mantenham acesso persistente a sistemas remotos e serviços expostos externamente - incluindo VPNs, portais webmail (como Outlook Web Access / Microsoft 365), dispositivos de rede e serviços de desktop remoto (RDP, RDS). A razão pela qual essa técnica é tão eficaz é simples: **o adversário não usa malware**. Ao operar com credenciais válidas, toda atividade maliciosa se mistura com atividade legítima de usuários, tornando a detecção baseada em assinaturas completamente ineficaz. Isso exige abordagens de detecção baseadas em comportamento e contexto (UEBA - User and Entity Behavior Analytics). **Contexto de uso por táticas MITRE:** | Tática | Como T1078 é utilizado | |--------|------------------------| | Initial Access | Acesso via VPN, RDP, portais web com credenciais roubadas | | Persistence | Manter acesso mesmo após remoção de malware inicial | | Privilege Escalation | Reutilizar credenciais de contas privilegiadas roubadas | | Defense Evasion | Operar como usuário legítimo, sem ferramentas maliciosas detectáveis | --- ## Sub-técnicas - [[t1078-001-default-accounts|T1078.001 - Default Accounts]] - [[t1078-002-domain-accounts|T1078.002 - Domain Accounts]] - [[t1078-003-local-accounts|T1078.003 - Local Accounts]] - [[t1078-004-cloud-accounts|T1078.004 - Cloud Accounts]] ## Como Funciona ### Vetores de Obtenção de Credenciais Adversários obtêm credenciais válidas por múltiplos meios antes de utilizá-las: **1. Credential Dumping (pós-comprometimento inicial)** Após ganhar acesso inicial, adversários extraem credenciais da memória (LSASS), do SAM, do banco de dados NTDS.dit (Active Directory) ou de credenciais salvas em navegadores. Técnicas como [[t1003-credential-dumping|T1003 - OS Credential Dumping]] (Mimikatz, secretsdump.py) são tipicamente a fonte. **2. Phishing de Credenciais** Páginas falsas de login (Microsoft 365, VPN, webmail corporativo) capturam usuário e senha. Em casos com MFA, adversários usam adversary-in-the-middle (AiTM) para capturar tokens de sessão (como no caso [[g1015-scattered-spider|Scattered Spider]]). **3. Credential Stuffing / Password Spraying** Uso de listas de credenciais vazadas em ataques de força bruta ou "spray" - tentando senhas comuns em muitas contas para evitar bloqueios. **4. Compra no Underground** Credenciais corporativas vendidas em fóruns criminais (Genesis Market, Russian Market) - normalmente extraídas por stealers (RedLine, Vidar, Raccoon). **5. Supply Chain / Terceiros** Comprometer um fornecedor ou parceiro com acesso à rede do alvo (técnica usada na campanha SolarWinds pelo APT29). **6. Contas Inativas / Órfãs** Contas de ex-funcionários que não foram desativadas - frequentemente sem monitoramento ativo, com senhas nunca expiradas. ### Padrão de Uso Operacional ``` Obtenção → Reconhecimento → Movimentação Lateral → Escalonamento → Persistência ``` Após obter credenciais, o adversário tipicamente: 1. Autentica em serviços expostos externamente (VPN, OWA, portal de acesso remoto) 2. Realiza reconhecimento interno silencioso (LDAP queries, enumeração de compartilhamentos) 3. Move lateralmente usando as mesmas credenciais ou credenciais adicionais descobertas 4. Escalona para contas privilegiadas (Domain Admin, Global Admin no Azure AD) 5. Estabelece persistência adicional (novas contas backdoor, tokens de API de longa duração) --- ## Attack Flow ```mermaid graph TB A["🎣 Obtenção de Credenciais<br/>Phishing / Credential Dump / Dark Web"] --> B["🔍 Reconhecimento<br/>Validar credenciais / Identificar escopo"] B --> C{"🚪 Acesso Inicial<br/>Qual serviço exposto?"} C --> D["🌐 VPN / RDP<br/>T1078.002 Domain Account"] C --> E["☁️ Cloud Portal<br/>T1078.004 Cloud Account"] C --> F["🔧 Default Creds<br/>T1078.001 Default Account"] D --> G["🔎 Reconhecimento Interno<br/>LDAP / AD Enumeration"] E --> G F --> G G --> H["↔️ Movimento Lateral<br/>Pass-the-Hash / Pass-the-Ticket"] H --> I["⬆️ Escalonamento de Privilégio<br/>Domain Admin / Root / Global Admin"] I --> J["💾 Persistência<br/>Novas contas / Tokens de longa duração"] J --> K["🎯 Objetivo Final<br/>Exfiltração / Ransomware / Espionagem"] style A fill:#c0392b,color:#fff style C fill:#8e44ad,color:#fff style I fill:#e74c3c,color:#fff style K fill:#c0392b,color:#fff ``` --- ## Exemplos de Uso ### Scattered Spider - MFA Bypass e Social Engineering O [[g1015-scattered-spider|Scattered Spider]] (UNC3944) é um grupo de ameaça com nexo anglófono que especializa-se no abuso de T1078 via engenharia social avançada: - Ligam para help desks corporativos se passando por funcionários e convencem o suporte a resetar credenciais ou desativar MFA - Utilizam portais de identidade (Azure AD, Okta) para reset de senha - Comprometeram dezenas de organizações incluindo MGM Resorts, Caesars Entertainment e Cloudflare (2023) - Técnica: [[t1078-004-cloud-accounts|T1078.004 - Cloud Accounts]] + engenharia social ### Volt Typhoon - Credenciais de VPN e Dispositivos de Rede O [[g1017-volt-typhoon|Volt Typhoon]] (nexo China), focado em infraestrutura crítica americana, abusa extensivamente de T1078: - Extrai credenciais de roteadores e firewalls comprometidos - Usa credenciais legítimas de VPN para acesso persistente "living off the land" - Foco em setores de energia, água, telecomúnicações e transporte - Opera por longos períodos sem usar malware - puramente com credenciais válidas ### APT41 - Espionagem e Crime Financeiro O [[g0096-apt41|APT41]] (Winnti Group, nexo China) usa T1078 como técnica de persistência: - Compromete contas de AD de alto valor após acesso inicial via exploração de vulnerabilidades - Usa contas de serviço com senhas nunca expiradas para persistência de longo prazo - Técnica frequentemente combinada com [[t1550-use-alternate-authentication-material|T1550 - Use Alternaté Authentication Material]] ### Lazarus Group - Credenciais em Exchanges de Criptomoeda O [[g0032-lazarus-group|Lazarus Group]] (Coreia do Norte) usa T1078 em ataques a exchanges e DeFi: - Obtém credenciais de funcionários de exchanges via spear-phishing - Usa contas legítimas para fazer requisições de saque que passam pelos controles internos - Relacionado ao roubo de US$ 1,5 bilhão da Bybit em 2025 --- ## Detecção ### Sigma Rule - Login de Conta em Horário Atípico ```yaml title: Valid Account Login at Unusual Hours id: b3c4d5e6-f7a8-9012-bcde-f12345678901 status: experimental description: > Detecta autenticações bem-sucedidas fora do horário comercial normal, especialmente de localizações ou endereços IP incomuns. author: RunkIntel daté: 2026/03/25 references: - https://attack.mitre.org/techniques/T1078/ logsource: product: windows service: security detection: selection: EventID: 4624 LogonType: - 3 # Network logon - 10 # RemoteInteractive (RDP) timeframe: - before: '07:00' - after: '20:00' filter_service_accounts: SubjectUserName|endswith: ' condition: selection and not filter_service_accounts falsepositives: - Administradores trabalhando fora do horário comercial - Processos de backup automatizados level: medium tags: - attack.defense_evasion - attack.initial_access - attack.t1078 ``` ### Sigma Rule - Criação de Conta Administrativa Suspeita ```yaml title: New Privileged Account Created Outside Change Window id: c4d5e6f7-a8b9-0123-cdef-123456789012 status: experimental description: > Detecta criação de novas contas adicionadas a grupos privilegiados (Domain Admins, Enterprise Admins) fora de jánelas de mudança planejadas. author: RunkIntel daté: 2026/03/25 logsource: product: windows service: security detection: selection_creaté: EventID: 4720 # A user account was created selection_group_add: EventID: 4728 # A member was added to a security-enabled global group TargetUserName|contains: - 'Domain Admins' - 'Enterprise Admins' - 'Schema Admins' condition: selection_creaté or selection_group_add falsepositives: - Mudanças legítimas de helpdesk durante jánelas de manutenção aprovadas level: high tags: - attack.persistence - attack.t1078 - attack.privilege_escalation ``` ### Estrategias de Detecção por Plataforma | Plataforma | Fonte de Log | Indicadores de Comprometimento | |-----------|--------------|-------------------------------| | Windows AD | Security Event Log (4624, 4625, 4648, 4728) | Logins fora de horário, de novos IPs, logins simultâneos em múltiplos locais | | Azure AD / M365 | Unified Audit Log, Sign-in logs | Impossible travel, logins de países incomuns, novos dispositivos não registrados | | VPN | Radius/Syslog de gateway VPN | Múltiplos logins do mesmo usuário de IPs distintos simultaneamente | | Linux/Unix | /var/log/auth.log, /var/log/secure | `su`, `sudo`, logins SSH de contas inativas | | AWS/GCP/Azure | CloudTrail, Audit Logs | Criação de IAM keys, assume-role de regiões incomuns, escalada de permissões | | SaaS (Salesforce, Okta) | Admin audit logs | Logins de IP não corporativo, mudanças em configurações de SSO | --- ## Mitigação | ID | Mitigação | Descrição | Prioridade | |----|-----------|-----------|-----------| | [[m1032-multi-factor-authentication\|M1032]] | Multi-factor Authentication | MFA em TODOS os acessos remotos (VPN, RDP, webmail, cloud). Prioridade máxima - mitiga 99% dos ataques de credential stuffing/phishing | Crítica | | [[m1027-password-policies\|M1027]] | Password Policies | Exigir senhas longas (mínimo 16 caracteres), proibir reutilização, forçar troca periódica de contas privilegiadas | Alta | | [[m1036-account-use-policies\|M1036]] | Account Use Policies | Configurar bloqueio após N tentativas falhas, restrições de horário de login, restrições de IP de origem | Alta | | [[m1026-privileged-account-management\|M1026]] | Privileged Account Management | Separar contas administrativas de contas de uso diário. Usar PAM (CyberArk, BeyondTrust) para controle de contas privilegiadas | Alta | | [[m1018-user-account-management\|M1018]] | User Account Management | Processo formal de offboarding - desativar contas imediatamente ao desligamento. Auditar contas inativas mensalmente | Alta | | [[m1015-active-directory-configuration\|M1015]] | Active Directory Configuration | Implementar Protected Users Security Group, Tiering Model (Tier 0/1/2), desativar NTLM onde possível | Alta | | [[m1017-user-training\|M1017]] | User Training | Treinamento de conscientização sobre phishing, vishing e engenharia social. Simulações regulares de phishing | Média | --- ## Contexto Brasil/LATAM O abuso de credenciais válidas é **o vetor de ataque dominante no Brasil e América Latina**, impulsionado por fatores específicos da região: **Ecossistema de Credential Stealers**: O Brasil é consistentemente ranqueado entre os países mais afetados por malware de roubo de credenciais. Famílias como [[s0531-grandoreiro|Grandoreiro]], [[mekotio|Mekotio]], [[s0455-metamorfo|Casbaneiro]] e outros trojans bancários brasileiros incluem módulos de captura de credenciais corporativas além de dados bancários. **Mercado Underground Brasileiro**: Fóruns como Underground Brasil, HackersBrasil e canais Telegram brasileiros comercializam logs de stealers com credenciais corporativas de empresas brasileiras por valores acessíveis. Credenciais de acesso a VPNs de grandes empresas chegam a ser vendidas por menos de US$ 100. **Ataques ao Setor Financeiro**: Grupos como [[g0046-fin7|FIN7]] e operadores de ransomware como LockBit e RansomHub frequentemente usam credenciais roubadas de funcionários de bancos e fintechs brasileiras como ponto de entrada antes do deployment de ransomware. **Caso Emblemático - Operadora de Telecomúnicações (2024)**: Um grupo de ransomware obteve acesso à rede interna de uma grande operadora brasileira usando credenciais de VPN de um terceiro - empresa de outsourcing de TI. O terceiro tinha acesso de nível administrador não revisado por meses, sem MFA. **Ameaça do [[g0032-lazarus-group|Lazarus Group]] a exchanges brasileiras**: Com o crescimento do mercado cripto no Brasil, exchanges brasileiras tornaram-se alvos. O padrão do Lazarus de usar T1078 via spear-phishing de funcionários é diretamente aplicável ao contexto nacional. **Recomendação prioritária para o Brasil**: Implementar MFA em todos os acessos remotos é a única mitigação com maior retorno sobre investimento - estimativas da Microsoft indicam que MFA bloqueia mais de 99,9% dos ataques baseados em credenciais comprometidas. --- ## Software Associado - [[s0599-kinsing|Kinsing]] - cryptominer que usa credenciais padrão de Docker/Kubernetes expostos - [[s0053-seaduke|SeaDuke]] - malware APT29, usa credenciais roubadas para movimentação lateral - [[s0567-dtrack|Dtrack]] - implante do [[g0032-lazarus-group|Lazarus Group]], coleta credenciais para uso posterior - [[s0604-industroyer|Industroyer]] - malware ICS/SCADA que usa credenciais de contas de serviço OT - [[s0038-duqu|Duqu]] - malware de espionagem que abusa de contas com privilégios elevados - [[s0362-linux-rabbit|Linux Rabbit]] - cryptominer Linux que usa credential stuffing em SSH --- ## Threat Actors que Usam - [[g0096-apt41|APT41]] - espionagem + crime financeiro, credenciais de AD de longo prazo - [[g0061-fin8|FIN8]] - ataques a POS e retail, credenciais de RDP - [[g0085-fin4|FIN4]] - ataques a M&A e saúde, credenciais de webmail (insider trading) - [[g0046-fin7|FIN7]] - ataques a retail/hospitality, credential phishing avançado - [[g1015-scattered-spider|Scattered Spider]] - engenharia social + MFA bypass, cloud accounts - [[g0035-dragonfly|Dragonfly]] - ICS/energia, credenciais de sistemas OT - [[g0093-gallium|GALLIUM]] - telecomúnicações, credenciais de dispositivos de rede - [[g0026-apt18|APT18]] - saúde e tecnologia, credenciais de AD - [[g1017-volt-typhoon|Volt Typhoon]] - infraestrutura crítica, VPN + dispositivos de rede - [[g0032-lazarus-group|Lazarus Group]] - exchanges cripto, credenciais de funcionários via phishing --- ## Referências - [MITRE ATT&CK - T1078](https://attack.mitre.org/techniques/T1078/) - [Microsoft - How MFA blocks 99.9% of account compromise attacks](https://www.microsoft.com/en-us/security/blog/2019/08/20/one-simple-action-you-can-take-to-prevent-99-9-percent-of-account-attacks/) - [CISA - Advisory on Living off the Land techniques (Volt Typhoon)](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a) - [Mandiant - Scattered Spider UNC3944](https://www.mandiant.com/resources/blog/unc3944-sms-phishing-sim-swapping-ransomware) - [CrowdStrike - FIN7 Credential Harvesting](https://www.crowdstrike.com/blog/fin7-post-exploitation-technique-using-windows-management-instrumentation/) - [FEBRABAN - Relatório de Cibersegurança no Setor Financeiro Brasileiro 2024](https://febraban.org.br/)