Restringindo e auditando a escrita em C:\Users\Public via GPO

Wed, 04 Dec 2024 16:12:08 -0300

1. Introdução

C:\Users\Public é um dos poucos diretórios do Windows com caminho previsível, presente em toda instalação e gravável por qualquer usuário interativo sem elevação. Essa combinação faz dele um local recorrente de staging em intrusões: loaders baixam o segundo estágio para lá, scripts de persistência copiam binários para lá e ferramentas de ransomware usam a pasta para deixar utilitários e notas antes da execução. No MITRE ATT&CK, esse comportamento aparece principalmente em T1074.001 (Local Data Staging) e T1105 (Ingress Tool Transfer), seguido de execução (T1059, T1204).

Deteccao on Sandson Costa

Restringindo e auditando a escrita em C:\Users\Public via GPO

1. Introdução