O grupo de ransomware Qilin, também conhecido como Agenda, adotou uma tática de reconhecimento em servidores comprometidos. Em vez de varreduras de rede barulhentas, passou a consultar logs do Windows para mapear acessos RDP.
A técnica usa um comando em PowerShell para extrair registros do Event ID 1149 do log Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational. Com isso, identifica quais contas utilizaram acesso remoto e de onde partiram as conexões.
Na prática, a abordagem ajuda a detectar usuários relevantes e sistemas potenciais sem depender de ferramentas tradicionais de enumeração de Active Directory ou de varreduras de rede, que costumam disparar alertas.
Segundo a análise, o método teria sido entregue por meio de uma instalação maliciosa do ScreenConnect durante a intrusão. Esse ponto sinaliza uma infiltração já publicada no ambiente.
O Event ID 1149 nem sempre recebe prioridade de equipes de segurança, o que amplia a janela de reconhecimento silencioso antes da criptografia. Muitas organizações não encaminham esse log ao SIEM nem o analisam com profundidade.
Defesa e medidas
Defesas indicam habilitar o PowerShell ScriptBlock Logging e monitorar instalações não autorizadas de ferramentas de acesso remoto, como ScreenConnect, AnyDesk e Atera. Também é recomendável acompanhar tentativas de adulteração do Microsoft Defender.
Esses sinais podem indicar a presença do Qilin horas antes do início da criptografia, segundo a análise citada. Aposte em monitoramento abrangente de logs e resposta rápida a incidentes para reduzir impactos.
Entre na conversa da comunidade