Offensive SIEM

Técnicas práticas para utilizar o SIEM como uma ferramenta de descoberta ofensiva, ajudando os defensores a pensar como atacantes para fortalecer a segurança a partir de dentro.

Consultas

Veja acima - arquivo queries.md.

Continuará a ser atualizado quando necessário. A ideia é ter cobertura camada sobre camada usando diferentes event.codes/event.providers.

• Consultas lançadas para PATHS ambientais, Drivers de Kernel e scripts de Logon/Arranque etc durante fevereiro de 2026!
• Consultas lançadas para bibliotecas OpenSSL e Tarefas Agendadas / Serviços com caminhos de binários em falta durante março de 2026!

Gestão de Vulnerabilidades

Consultas para Gestão de Vulnerabilidades no ficheiro: vulnerabilitymanagement.md

Dá-lhe uma ideia de como pode enumerar

• Versão e estado de build do SO Windows
• Regras de Redução da Superfície de Ataque (ASR) e encontrar más configurações
• Exclusões do Windows Defender e encontrar más configurações
• Regras do Windows Applocker e encontrar más configurações

Contacte-nos se/quando encontrar algo

Esperamos que tenham gostado da apresentação. Contacte-nos se (eu diria quando) encontrar vulnerabilidades usando este método. Uma simples mensagem como "uma das vossas consultas apanhou coisas boas".. é mais que suficiente :) faça-o comprometendo-se no ficheiro ping.md ou contacte-nos de formas alternativas! Ficaríamos felizes por partilhar o seu sucesso!

Informação geral

O repositório irá ajudá-lo a ter uma mentalidade ofensiva. O repositório serve para partilhar o material e as consultas de que falámos na nossa apresentação:

Offensive SIEM - When The Blue Team Switches Perspective

SEC-T setembro 2025 ⭐ https://www.youtube.com/watch?v=5nfL_4ek4dY

x33fcon palestra atualizada junho 2026 cobrindo algumas áreas novas ⭐ https://youtu.be/dD_7AdEoj0k?is=CMp22Q9evBcqZe7L

Incluímos as partes mais interessantes relacionadas com ACL e temos dicas & truques.

Confira os excelentes webinars sobre escalada de privilégios local no Windows e más configurações de endpoints Windows que o irão ajudar ainda mais. Há mais áreas a explorar.. Este é apenas o ponto de partida. Se construir boas consultas noutras áreas - por favor partilhe-as connosco para que mais pessoas na comunidade as possam usar.

As consultas com a marca ⭐ são extra altamente relevantes. Os tópicos abaixo com ⭐ são conteúdo realmente bom.

Webinars

Oddvar Moes Windows Client Privilege Escalation ⭐

obrigatório assistir, especialmente as ACL para binários, serviços e tarefas agendadas.

• https://www.youtube.com/watch?v=EG2Mbw2DVnU

Spencers Windows Endpoint Misconfigs ⭐

Tópico 2 (Software instalado/configurado de forma insegura) E Tópico 5 (Serviços E Tarefas Inseguras)

• https://go.spenceralessi.com/windowsmisconfigsreplay

password: P3yGQ+1y

• https://www.youtube.com/watch?v=JWopwNVP_to

Outros relacionados com Escalada de Privilégios no Windows.

• https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md
• https://sushant747.gitbooks.io/total-oscp-guide/content/privilege_escalation_windows.html
• https://www.absolomb.com/2018-01-26-Windows-Privilege-Escalation-Guide/

DLL Hijacking

• https://itm4n.github.io/windows-dll-hijacking-clarified/

Entradas PATH e diretórios com permissão de escrita pelo utilizador no PATH do sistema --> DLL Hijacking

• https://www.expressvpn.com/blog/cybersecurity-lessons-a-path-vulnerability-in-windows/
• https://www.praetorian.com/blog/red-team-local-privilege-escalation-writable-system-path-privilege-escalation-part-1/

SCCM / Software Center ⭐

• https://blog.nviso.eu/2022/05/31/cve-farming-through-software-center-a-group-effort-to-flush-out-zero-day-privilege-escalations/

Leitura interessante sobre quantos softwares mal configurados foram encontrados e provavelmente encontrará a mesma proporção usando Offensive SIEM!

Eliminação Arbitrária de Ficheiros --> Escalada de privilégios local

• https://cicada-8.medium.com/were-going-the-wrong-way-how-to-abuse-symlinks-and-get-lpe-in-windows-0c598b99125b
• https://cloud.google.com/blog/topics/threat-intelligence/arbitrary-file-deletion-vulnerabilities/
• https://github.com/ZeroMemoryEx/CVE-2025-68921
• https://xmcyber.com/blog/jumpshot-xm-cyber-uncovers-critical-local-privilege-escalation-cve-2025-34352-in-jumpcloud-agent/
• https://www.youtube.com/watch?v=EG2Mbw2DVnU a partir do minuto: 34.45 (Intel Trusted Connect Service client)
• https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks
• https://www.mdsec.co.uk/2026/02/total-recall-retracing-your-steps-back-to-nt-authoritysystem/

Outras operações de ficheiros

• https://troopers.de/downloads/troopers19/TROOPERS19_AD_Abusing_privileged_file_operations.pdf

Scripts de logon

• https://offsec.blog/hidden-menace-how-to-identify-misconfigured-and-dangerous-logon-scripts/
• https://cyberthreatperspective.buzzsprout.com/1731753/episodes/13343207-episode-54-misconfigured-and-dangerous-logon-scripts
• https://offsec.blog/wp-content/uploads/2024/06/How-to-Harden-Active-Directory-to-Prevent-Cyber-Attacks.pdf

Drivers de kernel e escalada de privilégios

• https://www.youtube.com/watch?v=U36hAneQeZM

openssl.cnf do OpenSSL e escalada de privilégios

• https://labs.infoguard.ch/advisories/cve-2025-13176_eset-inspect_edr_local-privilege-escalation/
• https://blog.mirch.io/2019/06/10/cve-2019-12572-pia-windows-privilege-escalation-malicious-openssl-engine/
• https://blog.pentryx.ch/local-privilege-escalation-in-lenovo-udc-19dc86d72142?gi=0fe882ea2355
• https://www.triskelelabs.com/blog/cve-2025-2272-forcepoint-endpoint-dlp-privilege-escalation
• https://hackerone.com/reports/622170

Vulnerabilidade do instalador/desinstalador NSIS

• https://blog.amberwolf.com/blog/2026/april/next-next-system/