# T1098 - Account Manipulation
## Descrição
Adversários manipulam contas existentes para manter e/ou elevar o acesso a sistemas comprometidos ao longo do tempo. A técnica abrange qualquer ação que preserve ou amplie o acesso adversário a uma conta: modificação de credenciais, adição a grupos de permissão, concessão de roles adicionais em ambientes cloud, ou ações projetadas para contornar políticas de segurança - como atualizações iterativas de senha para driblar políticas de expiração e preservar a utilidade de credenciais comprometidas.
Diferentemente de [[t1136-create-account|T1136 - Creaté Account]], que cria novas identidades detectáveis, a manipulação de contas existentes é mais difícil de identificar porque opera dentro do ciclo de vida normal de uma conta legítima. Um administrador adicionado a um grupo de domínio ou uma conta de serviço com uma nova chave SSH autorizada pode parecer uma atividade operacional rotineira, especialmente em ambientes grandes com alta rotatividade de mudanças de configuração.
Em ambientes modernos com identidade híbrida (Active Directory on-premises sincronizado com Microsoft Entra ID), a manipulação de uma conta pode ter impacto simultâneo em sistemas locais e na nuvem. Isso amplifica o raio de blast de uma única modificação de conta, potencialmente comprometendo acesso a recursos SaaS, ambientes IaaS e serviços de e-mail corporativo ao mesmo tempo.
## Como Funciona
A manipulação de contas assume formas diferentes dependendo do ambiente alvo. Em infraestruturas Windows com Active Directory, o adversário geralmente adiciona a conta comprometida a grupos privilegiados como Domain Admins ou Enterprise Admins, ou modifica atributos de conta sensíveis como `adminCount`, `servicePrincipalName` (habilitando ataques Kerberoasting posteriores) ou configurações de delegação Kerberos irrestrita.
Em ambientes cloud, o adversário pode adicionar credenciais extras a uma identidade existente - como chaves de acesso IAM da AWS ou certificados de autenticação no Entra ID - garantindo acesso alternativo mesmo que a senha original sejá redefinida. Em alguns casos, roles de alto privilégio (como Global Administrator no Entra ID) são atribuídas temporariamente a contas controladas pelo adversário, executando as ações necessárias, e depois removidas - minimizando o tempo de exposição no log de auditoria.
Em sistemas Linux e macOS, o adversário adiciona chaves SSH ao arquivo `authorized_keys` de contas privilegiadas, estabelecendo acesso backdoor que sobrevive a redefinições de senha. Em ambientes Kubernetes, a criação ou modificação de ClusterRoleBindings permite ao adversário conceder a si mesmo permissões administrativas no cluster sem criar novos ServiceAccounts detectáveis. O grupo [[g1015-scattered-spider|Scattered Spider]] notabilizou-se pelo abuso de registros de dispositivos em provedores de identidade - adicionando dispositivos controlados pelo adversário ao Entra ID via engenharia social contra equipes de helpdesk, o que concedia tokens MFA válidos sem comprometer a senha do usuário.
## Attack Flow
```mermaid
graph TB
A([Acesso inicial - conta comprometida ou credencial obtida]) --> B[Reconhecimento de contas e estrutura de permissões]
B --> C{Ambiente alvo}
C -->|Active Directory| D[Adiciona conta a grupo privilegiado - Domain Admins]
C -->|Cloud AWS/Azure/GCP| E[Atribui role privilegiada ou adiciona credencial extra]
C -->|Linux/macOS| F[Adiciona chave SSH a authorized_keys]
C -->|Exchange / Microsoft 365| G[Concede permissão de delegação de e-mail]
C -->|Kubernetes| H[Atribui ClusterRole via RBAC]
C -->|Entra ID / IdP| I[Registra dispositivo adversário para bypass de MFA]
D --> J[Persistência com privilégios elevados]
E --> J
F --> J
G --> J
H --> J
I --> J
J --> K([Acesso persistente - sobrevive a reset de senha da conta original])
K --> LT1003 - Credential Dumping
K --> MT1078 - Valid Accounts
style A fill:#b91c1c,color:#fff
style J fill:#d97706,color:#fff
style K fill:#15803d,color:#fff
```
## Exemplos de Uso
**Scattered Spider (UNC3944):** O grupo, composto predominantemente por falantes nativos de inglês, utilizou engenharia social intensiva contra equipes de helpdesk de grandes corporações - incluindo MGM Resorts e Caesars Entertainment em 2023 - para registrar dispositivos MFA controlados pelo adversário no Microsoft Entra ID (T1098.005). Com o dispositivo registrado, o grupo obtinha tokens de autenticação válidos sem necessidade de conhecer a senha do usuário, contornando completamente os controles de MFA implementados. A técnica é documentada como um dos vetores de acesso preferidos do grupo para campanhas de ransomware e extorsão.
**HAFNIUM:** O grupo de espionagem chinês responsável pela exploração em massa do Microsoft Exchange em 2021 utilizou as vulnerabilidades ProxyLogon/ProxyShell para adicionar permissões de delegação de e-mail a contas backdoor (T1098.002). Mesmo após a aplicação dos patches e remoção das webshells, as permissões de delegação persistiam nas caixas de correio comprometidas, permitindo ao grupo continuar acessando e-mails de executivos e pesquisadores semanas após a remediação inicial.
**Lazarus Group:** Em operações de roubo financeiro, o [[g0032-lazarus-group|Lazarus Group]] adicionou credenciais extras (chaves de acesso) a identidades IAM existentes em contas cloud de instituições financeiras, evitando criar novas contas - mais visíveis nos logs de auditoria. A técnica permitia ao grupo manter acesso persistente a sistemas de pagamento e carteiras de criptomoedas mesmo após alertas de segurança ativados por outras atividades maliciosas.
## Sub-técnicas
- [[t1098-001-additional-cloud-credentials|T1098.001 - Additional Cloud Credentials]]
- [[t1098-002-additional-email-delegate-permissions|T1098.002 - Additional Email Delegaté Permissions]]
- [[t1098-003-additional-cloud-roles|T1098.003 - Funções Adicionais em Nuvem]]
- [[t1098-004-ssh-authorized-keys|T1098.004 - SSH Authorized Keys]]
- [[t1098-005-device-registration|T1098.005 - Device Registration]]
- [[t1098-006-additional-container-cluster-roles|T1098.006 - Additional Container Cluster Roles]]
- [[t1098-007-additional-local-or-domain-groups|T1098.007 - Additional Local or Domain Groups]]
## Detecção
```yaml
title: Account Manipulation - Privileged Group Membership Change
status: stable
logsource:
category: process_creation
product: windows
detection:
selection_eventid:
EventID:
- 4728
- 4732
- 4756
selection_groups:
TargetUserName|contains:
- 'Domain Admins'
- 'Enterprise Admins'
- 'Schema Admins'
- 'Administrators'
filter_known_admin:
SubjectUserName|endswith: '