# T1668 - Exclusive Control
## Descrição
Após comprometer um sistema, adversários podem empregar ações ativas para impedir que outros agentes de ameaça - ou os próprios defensores - acessem ou mantenham presença no mesmo host. Essa técnica, introduzida no MITRE ATT&CK v16, formaliza o comportamento de **"fechar a porta"**: o adversário protege seu acesso exclusivo eliminando rotas alternativas de entrada e reduzindo a superfície visível de comprometimento.
O nome informal no jargão de inteligência de ameaças é **"closing the door"**: o ator mal-intencionado garante que apenas ele detenha o controle do sistema comprometido. Isso envolve aplicar patches na vulnerabilidade que ele mesmo explorou para entrar, remover malwares concorrentes encontrados no host, desabilitar serviços desnecessários e revogar acessos de outras contas - ações que, individualmente, se parecem com administração legítima.
A técnica possui uma lógica operacional multidimensional: eliminar competição com outros grupos de ameaça, reduzir o ruído de IoCs ativos para dificultar a detecção por equipes de [[t1562-impair-defenses|defesa]], maximizar recursos computacionais em operações de [[t1496-resource-hijacking|Resource Hijacking]], e construir uma fachada de sistema "saudável" que retarda a resposta a incidentes. O resultado é uma persistência mais silenciosa, mais durável e com menor probabilidade de ser descoberta por correlação com outros comprometimentos paralelos.
## Como Funciona
O Exclusive Control é implementado por um conjunto de ações que o adversário executa logo após estabelecer persistência inicial. Cada ação endereça uma dimensão diferente de "controle exclusivo":
**Remover outros malwares do host:** O adversário varre o sistema em busca de processos, arquivos e entradas de persistência associados a outros implantes. Pode usar ferramentas nativas (`tasklist`, `netstat`, `ps aux`) ou utilitários de análise forense portáteis para identificar e eliminar concorrentes. Em botnets de cryptomining, essa etapa é frequentemente automatizada em scripts de instalação - o XMRig e variantes incluem rotinas que matam processos de mineradores rivais antes de iniciar a própria mineração.
**Aplicar patches na vulnerabilidade de entrada:** O adversário corrige a falha que ele mesmo explorou para comprometer o sistema - sejá um serviço com versão vulnerável, uma configuração incorreta ou uma credencial padrão. Isso impede que outros atores (incluindo defensores, que poderiam usar o mesmo vetor para inspecionar o ambiente) utilizem a mesma rota. O patch pode ser aplicado via gerenciador de pacotes, edição direta de configuração ou substituição de binário.
**Desabilitar serviços e contas desnecessárias:** Serviços expostos que o adversário não utiliza representam vetores de entrada para rivais. Desabilitá-los reduz a superfície de ataque ao mesmo tempo que dificulta atividades de reconhecimento por outros grupos. A desativação de contas privilegiadas não utilizadas limita o escopo de movimentação lateral de eventuais invasores concorrentes.
**Configurar regras de firewall locais:** O adversário pode adicionar regras de firewall (`iptables`, `netsh advfirewall`, `ufw`) que bloqueiam intervalos de IP associados a outros grupos de ameaça ou simplesmente fecham portas não essenciais para a operação - reduzindo a jánela de oportunidade para ataques de força bruta ou exploração de serviços paralelos.
**Revogar privilégios e tokens de acesso:** Em ambientes cloud ou Active Directory, o adversário pode modificar permissões de contas de serviço ou tokens IAM para garantir que apenas as credenciais sob seu controle tenham o acesso necessário para manter a operação.
## Attack Flow
```mermaid
graph TB
A([Adversário obtém acesso inicial ao alvo]) --> B[Estabelece persistência primária]
B --> C{Estrategia de Controle Exclusivo}
C --> D[Varre host em busca de outros malwares]
C --> E[Aplica patch na vulnerabilidade explorada]
C --> F[Desabilita serviços desnecessários expostos]
C --> G[Configura regras de firewall locais]
D --> H[Remove implantes concorrentes e suas entradas de persistência]
E --> I[Fecha vetor de entrada para outros grupos]
F --> J[Reduz superfície de ataque paralela]
G --> K[Bloqueia IPs e portas de grupos rivais]
H --> L[Redução de IoCs ativos no host]
I --> L
J --> L
K --> L
L --> M([Persistência exclusiva e de longa duração])
M --> NResource Hijacking e/ou espionagem sem concorrência]
```
## Exemplos de Uso
**Volt Typhoon - Infraestrutura Crítica nos EUA e aliados**
O [[g1017-volt-typhoon|Volt Typhoon]], grupo de espionagem vinculado ao Estado chinês com foco em infraestrutura crítica, demonstra comportamentos consistentes com Exclusive Control em suas operações de acesso de longa duração. Após comprometer dispositivos de rede SOHO (roteadores domésticos e firewalls de pequenas empresas) para usá-los como proxies, o grupo aplica configurações de hardening nesses dispositivos - fechando portas administrativas expostas, atualizando credenciais padrão e, em alguns casos, aplicando atualizações de firmware. Isso impede que outros atores (incluindo grupos de ransomware que também exploram esses dispositivos) utilizem a mesma infraestrutura, mantendo a furtividade característica das operações de espionagem de longo prazo do grupo.
**Lazarus Group - Exchanges de Criptomoedas**
O [[g0032-lazarus-group|Lazarus Group]], em operações contra exchanges e instituições financeiras, demonstra comportamento semelhante ao limpar rastros de outros malwares e remover ferramentas de acesso remoto concorrentes antes de implantar seus próprios backdoors como [[s0567-dtrack|Dtrack]] ou [[s0520-blindingcan|BLINDINGCAN]]. Em incidentes analisados pela comunidade de threat intelligence, foram encontrados logs de processos sendo encerrados e arquivos sendo deletados em sequência antes da implantação do implante principal do Lazarus - sugerindo uma rotina de "limpeza pré-operação" automatizada.
**Botnets de Cryptomining - Exclusividade Automatizada**
Grupos de cryptomining são os que mais frequentemente empregam a técnica de forma explícita e automatizada. Scripts de infecção associados ao minerador [[xmrig|XMRig]] e a botnets como o Kinsing incluem rotinas que, ao ser executadas em um novo host, encerram processos de mineradores concorrentes identificados por nome de processo ou por uso intenso de CPU, removem entradas de crontab de outros mineradores e aplicam configurações de iptables que bloqueiam endereços C2 de grupos rivais conhecidos. Esse comportamento é amplamente documentado em honeypots de pesquisadores como o Aqua Security Nautilus e o Lacework Labs.
## Detecção
```yaml
title: Exclusive Control - Patch e Remoção de Malware Concorrente
id: a7f3c291-8e4b-4d5a-9123-bc4e8f712d34
status: experimental
description: >
Detecta sequência suspeita de ações de hardening após conexão de rede incomum:
encerramento de processos desconhecidos, modificação de serviços e aplicação
de patches - padrão associado a Exclusive Control (T1668). A correlação temporal
entre as ações é o indicador principal, não cada ação individual.
author: RunkIntel
daté: 2026-03-25
tags:
- attack.persistence
- attack.t1668
logsource:
category: process_creation
product: windows
detection:
selection_hardening_commands:
CommandLine|contains:
- 'sc stop'
- 'sc delete'
- 'net stop'
- 'taskkill /f'
- 'netsh advfirewall'
- 'reg delete'
ParentImage|endswith:
- '\cmd.exe'
- '\powershell.exe'
- '\wscript.exe'
filter_known_admin:
User|startswith:
- 'NT AUTHORITY\SYSTEM'
condition: selection_hardening_commands and not filter_known_admin
falsepositives:
- Scripts de hardening legítimos executados por equipe de TI
- Ferramentas de gestão de configuração (Ansible, Chef, Puppet)
- Procedimentos de resposta a incidentes automatizados
level: medium
```
**Estrategia de detecção complementar:** O Exclusive Control é melhor detectado por **correlação temporal** entre eventos, não por eventos individuais. Um SIEM bem configurado deve alertar quando, em uma jánela de 15-30 minutos após uma conexão de rede incomum, múltiplas das seguintes ações ocorrem no mesmo host: encerramento de processos, modificação de serviços, deleção de arquivos, e alteração de regras de firewall. Cada ação isolada é benigna; a sequência é o sinal.
## Mitigação
| ID | Mitigação | Descrição |
|----|-----------|-----------|
| - | Monitoramento de Integridade de Host | Soluções de FIM (File Integrity Monitoring) detectam deleção de arquivos e modificação de serviços em sequência suspeita - base para correlacionar comportamento de Exclusive Control |
| - | Análise de Comportamento de Endpoint (EDR/XDR) | Plataformas EDR com detecção comportamental conseguem identificar sequências anômalas de hardening pós-comprometimento que escapam a regras estáticas |
| - | Segmentação de Rede e Zero Trust | Limitar a capacidade do adversário de mover-se lateralmente reduz o valor estratégico de manter controle exclusivo de um único host |
| - | Gestão de Vulnerabilidades Contínua | Se o adversário não encontrar vulnerabilidades para corrigir (pois já foram corrigidas), uma das principais ações de Exclusive Control perde efetividade |
## Contexto Brasil/LATAM
No contexto do Brasil e da América Latina, o Exclusive Control é particularmente relevante em dois cenários: ataques a infraestrutura crítica por grupos de espionagem patrocinados por Estados, e operações de cryptomining que dominam servidores Linux mal configurados em provedores de cloud nacionais. Em incidentes investigados por equipes de resposta a incidentes brasileiras, foi observado comportamento consistente com essa técnica em servidores comprometidos de órgãos governamentais e empresas do [[financial|setor financeiro]], onde o adversário havia aplicado patches e removido outros malwares antes de implantar seu RAT principal - tornando o ambiente aparentemente "limpo" para ferramentas de varredura superficial. A dificuldade de atribuição dessa técnica é especialmente problemática no contexto LATAM, onde a capacidade forense das equipes de resposta a incidentes é variável e a correlação com inteligência de ameaças externa é limitada.
## Referências
- [[g1017-volt-typhoon|Volt Typhoon]]
- [[g0032-lazarus-group|Lazarus Group]]
- [[t1496-resource-hijacking|T1496 - Resource Hijacking]]
- [[t1562-impair-defenses|T1562 - Impair Defenses]]
- [[t1070-indicator-removal|T1070 - Indicator Removal]]
- [[t1190-exploit-public-facing-application|T1190 - Exploit Public-Facing Application]]
- [[s0567-dtrack|Dtrack]]
- [[xmrig|XMRig]]
*Fonte: MITRE ATT&CK - T1668 Exclusive Control, v16.2*