IOCs Comportamentais: Registro, Rede e Artefatos de Arquivos

Indicadores de comprometimento (IOCs) são artefatos forenses que indicam que um sistema foi comprometido. Eles incluem hashes de arquivos, endereços IP, nomes de domínio, chaves do Registro, mutexes e padrões comportamentais que aparecem no compartilhamento de inteligência sobre ameaças.

Os IOCs de arquivos incluem hashes MD5/SHA-256 de malware, caminhos e nomes de arquivos descartados e assinaturas do conteúdo dos arquivos (regras YARA). IOCs baseados em hash são frágeis — recompilar altera os hashes — portanto, concentre-se também em comportamentos e hashes difusos.

Principais locais de persistência: HKCU\Run, HKLM\Run, XML de tarefas agendadas no Registro, entradas de serviços e valores de DLL auxiliares do Winlogon. Documente o caminho completo da chave, o nome do valor e os dados de cada IOC do Registro descoberto.

Registre domínios C2, endereços IP, portas e padrões de URI. Inclua cadeias User-Agent, cabeçalhos HTTP e impressões digitais de certificados para C2 por HTTPS. Domínios DGA exigem detecção baseada em padrões, e não IOCs fixos.

O malware cria mutexes nomeados para impedir uma segunda infecção. O nome do mutex é um IOC exclusivo. Verifique os mutexes em execução com o Process Hacker ou o Sysinternals Process Monitor, procurando o nome específico usado pela amostra.

Para detectar injeção de processos, monitore sequências de chamadas de API OpenProcess + VirtualAllocEx + WriteProcessMemory + CreateRemoteThread, nessa ordem, partindo de um processo pai inesperado. Essa sequência é um IOC comportamental confiável para a injeção clássica.

Conexões SMB para os compartilhamentos ADMIN$ ou IPC$, criação de serviços pelo PsExec, criação de processos WMI por meio do WmiPrvSE.exe e padrões de execução de ferramentas semelhantes ao PsExec são IOCs comportamentais de movimentação lateral.

Objetos Indicator do STIX envolvem IOCs em um formato legível por máquinas, com sintaxe de padrões e os campos valid_from e confidence. Compartilhe-os pelo TAXII ou por plataformas de inteligência sobre ameaças para operacionalizar os IOCs em toda a organização.

O OpenIOC, da Mandiant, usa XML para combinar vários IOCs em árvores lógicas (AND/OR). Um IOC pode exigir: arquivo com um hash específico AND chave do Registro presente AND conexão de rede com um IP específico — reduzindo os falsos positivos.

Os IOCs expiram. Domínios passam a apontar para sumidouros, IPs são reatribuídos e hashes sofrem mutações. Revise a atualidade dos IOCs mensalmente. Retire IOCs obsoletos, atualize as contagens de ocorrências e eleve para listas de bloqueio prioritárias os IOCs que aparecem em vários incidentes.

Os IOCs tornam-se hipóteses de busca. Pesquise nos registros usando consultas SPL/KQL do SIEM para encontrar correspondências de IOCs em dados históricos. Até uma única correspondência de meses atrás pode revelar o tempo de permanência — por quanto tempo os invasores permaneceram sem ser detectados.

Os IOCs abrangem arquivos, entradas do Registro, artefatos de rede, mutexes e padrões comportamentais. A documentação adequada dos IOCs, o compartilhamento por meio do STIX e o gerenciamento do ciclo de vida transformam descobertas brutas de incidentes em inteligência defensiva reutilizável.