O grupo de ransomware Qilin, tamb\u00e9m conhecido como Agenda, adotou uma t\u00e1tica de reconhecimento em servidores comprometidos. Em vez de varreduras de rede barulhentas, passou a consultar logs do Windows para mapear acessos RDP.<\/p>\n
A t\u00e9cnica usa um comando em PowerShell para extrair registros do Event ID 1149 do log Microsoft-Windows-TerminalServices-RemoteConnectionManager\/Operational. Com isso, identifica quais contas utilizaram acesso remoto e de onde partiram as conex\u00f5es.<\/p>\n
Na pr\u00e1tica, a abordagem ajuda a detectar usu\u00e1rios relevantes e sistemas potenciais sem depender de ferramentas tradicionais de enumera\u00e7\u00e3o de Active Directory ou de varreduras de rede, que costumam disparar alertas.<\/p>\n
Segundo a an\u00e1lise, o m\u00e9todo teria sido entregue por meio de uma instala\u00e7\u00e3o maliciosa do ScreenConnect durante a intrus\u00e3o. Esse ponto sinaliza uma infiltra\u00e7\u00e3o j\u00e1 publicada no ambiente.<\/p>\n
O Event ID 1149 nem sempre recebe prioridade de equipes de seguran\u00e7a, o que amplia a janela de reconhecimento silencioso antes da criptografia. Muitas organiza\u00e7\u00f5es n\u00e3o encaminham esse log ao SIEM nem o analisam com profundidade.<\/p>\n
Defesas indicam habilitar o PowerShell ScriptBlock Logging e monitorar instala\u00e7\u00f5es n\u00e3o autorizadas de ferramentas de acesso remoto, como ScreenConnect, AnyDesk e Atera. Tamb\u00e9m \u00e9 recomend\u00e1vel acompanhar tentativas de adultera\u00e7\u00e3o do Microsoft Defender.<\/p>\n
Esses sinais podem indicar a presen\u00e7a do Qilin horas antes do in\u00edcio da criptografia, segundo a an\u00e1lise citada. Aposte em monitoramento abrangente de logs e resposta r\u00e1pida a incidentes para reduzir impactos.<\/p>\n","protected":false},"excerpt":{"rendered":"