1Acessando o laboratório de malware baseado em nuvem

---

• Se você já tem sua própria configuração de laboratório de malware, pule esta etapa e prossiga para a etapa 2.

• Junto com seu e-mail de confirmação para a Avaliação Gratuita do Falcon Prevent, você também recebeu um e-mail do cloudshare.com
• Clique no link que consta neste e-mail e siga as instruções de inscrição para aproveitar nosso ambiente de laboratório hospedado.
• Clique na aba Laboratório de Malware para acessar sua máquina de teste.

• Ao acessá-la pela primeira vez, clique no ícone Baixar Amostras na Área de Trabalho.
• Um script irá recuperar malware, ransomware e até ataques baseados em script recentes e colocá-los na pasta Arquivos de Amostra em sua área de trabalho.

2Preparação do laboratório

---

• Baixe e instale o sensor Falcon.
• Conforme você começa a testar, em seu próprio laboratório ou no ambiente virtual fornecido, os sensores para cada host de teste precisam ser baixados e instalados.
• Para a instalação do sensor, consulte Passos Básicos > Instalação.

• Volte para a interface do Falcon e vá para Detecções para inspecionar o novo alerta.
• Verifique a política de prevenção ativa.
• Para testar a eficácia, o sensor recém-instalado deve ter uma política de prevenção.
• Você pode confirmar isso na Interface Falcon. Vá para Gerenciamento de Host e verifique se você vê seu hostname listado. A coluna Política de Prevenção deve mostrar platform_default como a política atribuída.
• Execute o arquivo de teste de prevenção CrowdStrike para validar se a política foi aplicada corretamente. Acesse Área de Trabalho > Arquivos de Amostra > Não Malicioso e execute cs_maltest.exe. Com a prevenção ativada, você verá uma mensagem semelhante à seguinte no sistema do cliente.
• Isso também irá gerar um evento de detecção na Interface Falcon.

3Teste não malicioso

---

• Acesse Área de Trabalho > Arquivos de Amostra > Não Malicioso e execute cs_maltest.exe.
• Com a prevenção ativada, você verá uma mensagem semelhante à seguinte no sistema do cliente.
• Isso também irá gerar um evento de detecção na Interface Falcon.

4Malware

---

• Depois de instalar o sensor com as políticas de prevenção ativadas, você pode começar a testar com malware real.
• No laboratório de malware, navegue até Arquivos de Amostra > Malware na área de trabalho.
• Fornecemos cerca de 25 amostras de malware diferentes. Use essas amostras para gerar eventos de detecção na Interface Falcon.

• Fornecemos cerca de 25 amostras de malware diferentes. Use essas amostras para gerar eventos de detecção na Interface Falcon.
• Agora navegue de volta para a Interface Falcon e observe que explorer.exe é o processo pai na árvore de processos.
• Isso ajuda você a entender como um ataque foi executado.

• Execute um exemplo a partir de um prompt de comando (cmd.exe). O processo pai agora é cmd.exe em vez de explorer.exe.

• Use o HxD Hex Editor (já instalado no laboratório de malware) para modificar o arquivo e alterar seu hash.

• Em seguida, execute a amostra modificada para verificar que o Falcon Prevent pode bloquear malware desconhecido.

5Ransomware

---

• Nos últimos anos, o ransomware surgiu como um dos tipos de malware mais prevalentes e problemáticos.
• Coletamos amostras recentes de famílias de ransomware proeminentes, como Locky e WannaCry, e as disponibilizamos em seu laboratório.
• Para acessá-las, vá em Área de Trabalho > Arquivos de Amostra > Ransomware.
• Fique à vontade para executar qualquer um desses arquivos de ransomware e veja como o Falcon Prevent oferece proteção completa contra eles.

6PowerShell

---

• Navegue até Área de Trabalho > Arquivos de Amostra > IOAs-Comportamental.
• Clique duas vezes no arquivo batch Credential_Dumping.bat. Este script executará um comando powershell codificado para capturar credenciais.

• Navegue até a página Detecções da Interface Falcon e inspecione a nova detecção.
• Observe que os parâmetros completos da linha de comando estão disponíveis no painel Detalhes da Execução.
• Nesse alerta, a árvore do processo nos mostra imediatamente que o PowerShell foi executado em um prompt de comando, que foi identificado como Mimikatz, que foi acessado um processo LSASS (Local Security Authority Subsystem Service, em português, Serviço do Subsistema de Autoridade de Segurança Local), e que o comando foi codificado.
• À direita em Detalhes de Execução, podemos ver o argumento completo da linha de comando que foi usado.

7Persistência

---

• Navegue até Área de Trabalho > Arquivos de Amostra > IOAs-Comportamental.
• Clique duas vezes no arquivo batch Sticky_Keys.bat. O arquivo será executado em uma janela de prompt de comando.
• Ele modificará secretamente uma chave de registro que permitiria a um invasor fazer login na máquina sem jamais ter que fornecer um nome de usuário ou senha.

• Agora use o botão “enviar ctrl + alt + delete” no lado esquerdo da tela do seu laboratório de malware para abrir a tela de bloqueio do Windows.

• Clique na opção Facilidade de Acesso no canto inferior esquerdo e na tela pop-up que aparece.
• Marque a caixa Digitar Sem o Teclado (Teclado na Tela) e clique em Aplicar.

• Cancele para sair da tela de bloqueio do Windows e volte para a Interface Falcon.
• Você encontrará um novo alerta crítico em Detecções.
• Expandindo o novo alerta, podemos ver que cmd.exe foi impedido de iniciar com privilégios de sistema e de ignorar (bypass) o processo de logon do Windows.

8Ataque de phishing

---

• Neste cenário, simularemos um ataque de phishing abrindo um e-mail com um anexo malicioso.
• No laboratório de malware, abra o Outlook e encontre nosso e-mail preparado na caixa de entrada. Este ataque de phishing alega que o usuário tem despesas não pagas de uma estadia em um hotel.
• Para saber mais, abra o anexo clicando duas vezes em Folio-0701-2017-00873.xls.

• Depois de abrir o arquivo do Excel anexado, uma mensagem de erro do Visual Basic é exibida.
• Isso indica que o Falcon Prevent impediu que o documento executasse seu payload malicioso em segundo plano.

• A abertura do anexo acionou um novo alerta na Interface Falcon.
• Expandir o novo alerta ilustra claramente que essa ameaça veio do Outlook.exe e que o anexo do Excel iniciou o PowerShell.
• Para obter ainda mais detalhes sobre o que o PowerShell fez, o painel Detalhes da Execução mostra que o PowerShell tentou executar um comando oculto e baixar nosso script malicioso do Github.

9Gerenciamento de aplicações

---

• Navegue até Área de Trabalho > Arquivos de Amostra > Não Malicioso.
• Clique duas vezes e execute a aplicação Show_a_Hash.exe.
• Esta aplicação não faz nada mais do que mostrar seu próprio hash de arquivo em um prompt de comando.
• Usaremos esse hash para colocar o arquivo em blacklist (lista negra) e evitar que ele seja executado novamente.
• Copie o hash do prompt de comando ou a seguir: 4e106c973f28acfc4461caec3179319e
  784afa9cd939e3eda41ee7426e60989f

• Navegue até Hashes de Prevenção da Interface Falcon.
• No lado direito, clique no ícone de Upload Hashes

• Em seguida, cole o hash na janela e selecione Aplicar.

• Na próxima janela, selecione a ação Sempre Bloquear e selecione Aplicar novamente.

• Navegue de volta para a área de trabalho (feche a janela do prompt de comando), dê um clique duplo em Show_a_Hash.exe novamente e observe que, desta vez, ele não é executado.
• Na Interface Falcon, navegue até Detecções e inspecione o novo alerta.