# T1570 - Lateral Tool Transfer
## Descrição
Após estabelecer um ponto de entrada em um ambiente comprometido - geralmente via [[t1105-ingress-tool-transfer|Ingress Tool Transfer]] ou exploração direta - adversários precisam propagar suas ferramentas para outros sistemas da rede interna sem depender de novos downloads da internet, que poderiam ser bloqueados por controles de saída. T1570 descreve exatamente essa movimentação: a transferência de ferramentas, payloads e utilitários entre sistemas já comprometidos utilizando protocolos e mecanismos nativos do ambiente. Ao reutilizar protocolos legítimos como SMB, RDP, WinRM, SCP, rsync e até serviços de sincronização em nuvem como OneDrive e Dropbox, o atacante se camufla no tráfego interno e evita que as ferramentas sejam detectadas na entrada do perímetro de rede.
A eficácia dessa técnica reside no aproveitamento da confiança implícita entre sistemas internos: dentro de uma rede corporativa típica, o tráfego SMB entre servidores raramente é inspecionado com o mesmo rigor aplicado ao tráfego de entrada da internet. Grupos como [[g0010-turla|Turla]], [[g0050-apt32|APT32]] e [[g1017-volt-typhoon|Volt Typhoon]] documentam o uso de T1570 em combinação com [[Windows Admin Shares]] e [[t1021-001-remote-desktop-protocol|Remote Desktop Protocol]] para preparar o terreno em múltiplos hosts antes de executar as fases finais de uma operação. Ferramentas nativas (LOLBins) como [[s0190-bitsadmin|BITSAdmin]], [[s0404-esentutl|esentutl]] e [[s0095-ftp|ftp]] são frequentemente usadas para evitar alertas de execução de binários não-assinados.
**Contexto Brasil/LATAM:** No contexto brasileiro, T1570 é amplamente observado em operações de ransomware contra o setor [[_sectors|financeiro]] e manufatura, onde redes planas (sem microssegmentação) permitem movimentação irrestrita entre workstations e servidores. O grupo [[g1043-blackbyte|BlackByte]] utilizou SMB shares para distribuir seu ransomware [[s1180-blackbyte-ransomware|BlackByte Ransomware]] em múltiplos incidentes na América Latina. [[g0050-apt32|APT32]] (OceanLotus), com histórico de operações contra empresas brasileiras dos setores de manufatura automotiva e governo, usa SCP e ferramentas customizadas para transferência lateral de implantes em ambientes Linux e Windows híbridos. O uso de [[s0367-emotet|Emotet]] como veículo de distribuição lateral via SMB foi documentado em campanhas massivas contra PMEs brasileiras, onde a propagação interna ocorria em minutos após a infecção inicial.
**Event IDs relevantes (Windows):**
| Source | Event ID | Descrição |
|--------|----------|-----------|
| Security | **5145** | Network share object checked - acesso a `ADMIN
ou `C
|
| Security | **4688** | Process Creation - `bitsadmin.exe`, `esentutl.exe`, `xcopy.exe` com paths UNC |
| Sysmon | **11** | FileCreaté - arquivo PE criado em diretório temporário vindo de share de rede |
| Sysmon | **3** | Network Connection - conexão SMB (porta 445) iniciada por processo incomum |
| Security | **4624** | Logon - tipo 3 (network logon) para acesso a shares administrativos |
**Sigma Rule - Escrita de Executável em Share Administrativo:**
```yaml
title: Lateral Tool Transfer via Admin Share
id: e8f1a3b4-5c6d-7e8f-9a0b-1c2d3e4f5a6b
status: stable
description: >
Detecta escrita de arquivos executáveis em shares administrativos
Windows (ADMIN$, C$), indicativo de lateral tool transfer (T1570).
logsource:
product: windows
service: security
detection:
selection:
EventID: 5145
ShareName|endswith:
- '\ADMIN
- '\C