Arquitetura do Windows

A maioria dos ambientes corporativos executa Windows. Entender seu funcionamento interno — processos, serviços e limites de privilégios — é essencial para atacá-lo e defendê-lo.

Esta lição aborda a arquitetura fundamental sobre a qual você raciocinará durante um trabalho de segurança.

O Windows divide a execução em dois níveis:

• Modo de usuário — os aplicativos são executados aqui com acesso limitado.
• Modo de kernel — o núcleo do OS e os drivers são executados com acesso total ao hardware.

Explorações que chegam ao modo de kernel (por exemplo, por meio de um driver vulnerável) concedem controle total.

Um processo é um programa em execução com sua própria memória; uma thread é uma unidade de execução dentro dele. Cada processo tem um PID exclusivo.

Liste os processos em um prompt de comando ou no PowerShell.

Vários processos estão sempre em execução; impostores nessa área indicam malware:

• System (PID 4) — threads do kernel.
• smss.exe — gerenciador de sessões.
• csrss.exe — tempo de execução cliente/servidor.
• lsass.exe — armazena credenciais e é um alvo prioritário para atacantes.
• winlogon.exe, services.exe.

lsass.exe (Subsistema da Autoridade de Segurança Local) gerencia a autenticação e armazena em cache materiais de credenciais na memória.

Ferramentas como o Mimikatz extraem dados de lsass para roubar hashes de senhas e tíquetes Kerberos — um dos ataques mais importantes de compreender.

Um serviço é um programa em segundo plano gerenciado pelo Gerenciador de Controle de Serviços, geralmente executado com privilégios elevados durante a inicialização.

Serviços configurados incorretamente (permissões fracas, caminhos sem aspas) são vias clássicas de escalação de privilégios.

Os aplicativos se comunicam com o OS por meio da API do Windows, exposta por DLLs como kernel32.dll e ntdll.dll.

Malware e ferramentas ofensivas chamam essas APIs diretamente (CreateProcess, VirtualAlloc, WriteProcessMemory) para injetar código e evitar a detecção.

Cada processo carrega um token de acesso que descreve seu usuário, grupos e privilégios. O Windows verifica o token para toda ação protegida.

Atacantes roubam ou personificam tokens para agir como usuários com mais privilégios — base de muitas técnicas de escalação de privilégios.

O Windows atribui níveis de integridade (Baixo, Médio, Alto, Sistema). O Controle de Conta de Usuário (UAC) executa administradores no nível Médio até que eles elevem seus privilégios.

Contornar o UAC é uma etapa comum para passar da integridade Média para a Alta sem exibir uma solicitação.

Os programas carregam código compartilhado de DLLs. O Windows pesquisa diretórios específicos em uma determinada ordem para encontrá-las.

Se um diretório gravável vier primeiro, um atacante poderá inserir uma DLL maliciosa — isso é sequestro de DLL / abuso da ordem de pesquisa.

O conjunto Sysinternals da Microsoft é indispensável tanto para defensores quanto para atacantes:

• Explorador de Processos — árvore de processos e identificadores em detalhes.
• Monitor de Processos — eventos de arquivos, registro e processos em tempo real.
• Autoruns — todos os locais de inicialização automática (ótimo para encontrar persistência).

Lembre-se do processo que armazena credenciais.

Você mapeou a arquitetura do Windows:

• Modo de usuário versus modo de kernel; chegar ao kernel significa obter controle total.
• Processos importantes, especialmente lsass.exe para credenciais.
• Serviços, tokens de acesso, níveis de integridade e UAC.
• Abuso da ordem de pesquisa de DLLs e uso do Sysinternals para inspeção.

A seguir: o Registro do Windows.