A primeira máquina comprometida raramente é o objetivo. É o ponto de apoio. A partir dela, o atacante se move pela rede em busca do que realmente quer: o servidor de arquivos, o controlador de domínio, a base de dados. Esse deslocamento é a movimentação lateral, e é a fase em que um incidente pequeno vira um desastre.
Entender como ela funciona é o que permite, na defesa, transformar uma rede plana e frágil em um labirinto que contém o atacante.
O combustível: credencial e confiança
A movimentação lateral se alimenta de duas coisas: credenciais colhidas e relações de confiança entre máquinas. Quase toda técnica é uma variação de “usei uma credencial que encontrei aqui para acessar aquela outra máquina que confia nela”.
Por isso a fase anterior, a coleta de credenciais na máquina comprometida, é tão importante. É o que discuti em Escalada de privilégios em Linux, e o princípio vale igual no mundo Windows: credencial deixada em memória ou em arquivo é o que abre a próxima porta.
Técnica 1: reaproveitar a sessão sem saber a senha
Em redes Windows, certos mecanismos de autenticação permitem provar identidade usando um resíduo criptográfico da senha, sem precisar da senha em texto. Se o atacante extrai esse resíduo da máquina comprometida, ele o apresenta a outras máquinas e é aceito como o usuário original.
É a técnica que torna tão perigoso um administrador ter feito login em uma estação qualquer: o resíduo da credencial dele fica ali, e vira a chave para tudo que aquele administrador acessa.
Técnica 2: usar os canais legítimos de administração
O Windows tem ferramentas nativas para administração remota, feitas para o time de TI operar máquinas à distância. O atacante usa exatamente as mesmas, porque são confiáveis, estão presentes em todo lugar e não parecem malware.
Executar um comando remoto, agendar uma tarefa em outra máquina, criar um serviço à distância: tudo isso é funcionalidade normal usada com má intenção. É o que torna a detecção difícil, porque o binário é legítimo. O que denuncia é o contexto: esta conta, a esta hora, administrando esta máquina, faz sentido?
Técnica 3: seguir a trilha de confiança
O atacante mapeia quais contas têm acesso a quê e onde cada uma esteve logada, montando um grafo de caminhos possíveis até o alvo. Esse mapeamento é a versão interna do reconhecimento de Ataques a Active Directory, e frequentemente revela um caminho curto e inesperado até o administrador de domínio.
Como a defesa quebra cada caminho
A boa notícia é que a movimentação lateral depende de condições que a defesa controla. Retire as condições, e o atacante fica preso na primeira máquina.
| Condição que o atacante explora | Como a defesa remove |
|---|---|
| Credencial de administrador exposta em estação comum | Contas administrativas separadas, nunca usadas em máquinas comuns |
| Máquinas conversando livremente entre si | Segmentação de rede, como em Segmentação com VLAN |
| Mesma senha de administrador local em todas as máquinas | Senha de administrador local única por máquina, gerenciada automaticamente |
| Ferramentas de administração remota liberadas para todos | Restringir administração remota a origens e contas específicas |
A terceira linha merece destaque: quando todas as máquinas compartilham a mesma senha de administrador local, comprometer uma entrega todas de uma vez. Senha única por máquina transforma esse salto instantâneo em um trabalho lento e ruidoso.
Segmentar é o que mais contém
Se a estação comprometida sequer alcança o servidor sensível pela rede, boa parte das técnicas acima não tem para onde ir. É por isso que a segmentação, tratada em Segmentação de rede com VLAN, é uma das defesas de maior retorno contra movimentação lateral: ela não impede a invasão, mas encurta drasticamente o alcance de quem invadiu.
Detectar o movimento
Nenhuma barreira é perfeita, então a detecção fecha o conjunto. A movimentação lateral produz sinais característicos: uma conta autenticando em máquinas onde nunca esteve, uso de ferramenta de administração remota fora do padrão, logins do tipo de rede em sequência incomum, os mesmos eventos que descrevi em Forense de logs de eventos do Windows.
Correlacionar esses sinais em tempo real, do jeito que tratei em Monitoramento Avançado com XDR no SOC, é o que transforma um deslocamento silencioso em um alerta antes de o atacante chegar ao alvo.
O que fica
Movimentação lateral é a fase em que a defesa em profundidade prova seu valor. Uma única invasão é quase inevitável ao longo do tempo. O que decide o tamanho do estrago é quantas barreiras existem entre a primeira máquina e o que realmente importa. Rede plana não tem barreira nenhuma, e é por isso que um clique errado, nela, custa a empresa inteira.