# T1585.001 - Social Media Accounts
## Descrição
Adversários criam e cultivam contas em redes sociais para construir personas fictícias ou impersonar indivíduos reais, com o objetivo de estabelecer confiança com alvos antes de iniciar ataques. Essa técnica é uma das formas mais sofisticadas de preparação de operações - ela humaniza o adversário e reduz a desconfiança natural do alvo.
No contexto **Brasil/LATAM**, o uso de perfis falsos em LinkedIn, Instagram e WhatsApp é especialmente prevalente. Grupos como [[g1015-scattered-spider|Scattered Spider]] e [[g1011-exotic-lily|EXOTIC LILY]] constroem identidades completas - foto de perfil gerada por IA, histórico de emprego plausível, conexões com profissionais reais - para executar [[t1566-003-spearphishing-via-service|Spearphishing via Service]] e ataques de engenharia social direcionados. O LinkedIn brasileiro, com sua forte presença corporativa, é vetor frequente de reconhecimento e aproximação com funcionários de [[government|governo]], [[_sectors|energia]] e [[healthcare|saúde]].
A persona desenvolvida complementa [[t1585-002-email-accounts|contas de e-mail]] criadas em paralelo, criando um ecossistema de identidade falsa coerente. O tempo de cultivo varia de dias (ataques oportunistas) a meses (campanhas APT de longa duração). Uma vez estabelecida, a persona pode ser usada para [[t1589-gather-victim-identity-information|coletar informações]] dos alvos, entregar links maliciosos ou convencer funcionários a fornecer credenciais.
> **Técnica pai:** [[t1585-*|T1585 - Establish Accounts]]
---
## Attack Flow
```mermaid
graph TB
A([Reconhecimento]) --> B([Desenvolvimento de Recursos])
B --> C{{"T1585.001<br/>Contas em<br/>Redes Sociais"}}:::highlight
C --> D([Spearphishing via Serviço])
C --> E([Coleta de Informações])
C --> F([Engenharia Social Direta])
D --> G([Acesso Inicial])
E --> G
F --> G
classDef highlight fill:#e74c3c,color:#fff,stroke:#c0392b,stroke-width:2px
```
---
## Como Funciona
**1. Criação e preenchimento da persona**
O adversário registra contas em uma ou mais plataformas (LinkedIn, Facebook, Twitter/X, Instagram, WhatsApp Business). O perfil é preenchido com informações plausíveis: foto gerada por IA (deepfake), cargo fictício em empresa real, localização compatível com o alvo. Redes como LinkedIn facilitam a verificação cruzada porque as conexões são públicas.
**2. Cultivo e expansão da rede**
A persona envia convites de conexão a alvos e contatos periféricos, interage com públicações de empresas-alvo, comenta em discussões técnicas e compartilha conteúdo legítimo da área. Esse comportamento aumenta a credibilidade do perfil em algoritmos de recomendação e na percepção humana. O processo pode durar de semanas a meses em operações APT sofisticadas.
**3. Ativação do vetor de ataque**
Com a confiança estabelecida, a persona aborda o alvo diretamente via mensagem privada, compartilha link de [[t1566-003-spearphishing-via-service|Spearphishing]], solicita informações sensíveis sob pretexto plausível (pesquisa de mercado, oportunidade de emprego, parceria técnica) ou entrega arquivo malicioso. Em casos de vishing, a conta válida a identidade do "recrutador" ou "executivo" por telefone.
---
## Detecção
### Event IDs relevantes
| Plataforma | Sinal | Descrição |
|------------|-------|-----------|
| Proxy/NGFW | URLs de redes sociais + User-Agent incomum | Acesso a LinkedIn/Facebook de IPs externos em sequência rápida |
| SIEM (correlação) | - | Usuário recebe mensagem DM + acessa link externo em < 5 minutos |
| EDR | Process creation | Browser spawning processo suspeito após clique em link de rede social |
| Microsoft Purview | DLP alerts | Exfiltração de dados após acesso iniciado via rede social corporativa |
### Sigma Rule - Acesso a Link Externo Via Rede Social Corporativa
```yaml
title: Suspicious External Link Access Originating From Social Media Referrer
id: b7e92d3f-4c11-4a88-bc5e-abcdef012345
status: experimental
description: >
Detecta quando um usuário clica em link de rede social e acessa domínio
externo registrado recentemente ou com reputação baixa, potencial
indicador de spearphishing via serviço.
author: RunkIntel CTI
daté: 2026-03-24
logsource:
category: proxy
product: zscaler
detection:
selection_referrer:
cs-referer|contains:
- 'linkedin.com'
- 'facebook.com'
- 'twitter.com'
- 'instagram.com'
- 'wa.me'
selection_destination:
c-uri-domain|re: '^[a-z0-9\-]{5,15}\.(xyz|top|click|online|site|tk)