Movimentação lateral: espalhando-se pela rede

O pivoting (aula Pivoting e tunneling: da máquina comprometida à rede inteira) te deu o roteamento para alcançar a rede interna. A movimentação lateral é o que você faz uma vez lá dentro: comprometer máquina após máquina, expandindo seu domínio pela rede até alcançar os alvos de maior valor. Se o pivoting é a estrada, a movimentação lateral é a conquista das cidades ao longo dela. É a fase que transforma um comprometimento pontual num comprometimento sistêmico, e é o coração do que um red team demonstra: como um invasor, a partir de um único pé-dentro, chega ao controlador de domínio e às joias da coroa. Laboratório com múltiplas máquinas, sempre.

Credenciais legítimas como combustível

O combustível da movimentação lateral são as credenciais. Diferente da exploração inicial (que abusa de vulnerabilidades), a movimentação lateral tipicamente usa acesso legítimo — credenciais que você coletou. Lembre de onde elas vêm: hashes extraídos do LSASS/SAM na escalação (aulas Windows internals: processos, registro e o coração da autenticação, Escalação de privilégios em Windows: tokens, serviços e SYSTEM), senhas crackeadas (aula Cracking offline com John e Hashcat: quebrando hashes em escala), credenciais achadas em arquivos e scripts, senhas reutilizadas. A percepção central é que, numa rede corporativa, credenciais são chaves que frequentemente abrem múltiplas portas — administradores reutilizam a mesma senha em várias máquinas, contas de serviço têm acesso amplo, e uma credencial comprometida numa máquina vale em muitas outras. A movimentação lateral é, em grande parte, a arte de coletar credenciais numa máquina e usá-las para acessar a próxima, num ciclo que se repete.

Pass-the-Hash, passo a passo

A técnica emblemática, que você precisa entender conceitualmente, é o Pass-the-Hash (PtH). Lembre da aula Windows internals: processos, registro e o coração da autenticação: o Windows autentica usando o hash NTLM da senha, e esse hash fica em cache. O Pass-the-Hash explora isso de forma elegante e devastadora — você não precisa da senha em texto claro; basta o hash. Se você extraiu o hash NTLM de um administrador de uma máquina comprometida, pode apresentar esse hash diretamente para se autenticar em outras máquinas onde aquela conta tem acesso, sem nunca crackear a senha. O hash é a credencial. Isso significa que extrair um hash administrativo de uma máquina frequentemente equivale a comprometer todas as máquinas onde aquele administrador tem acesso — um efeito cascata poderoso. (O Pass-the-Hash e seus parentes — Pass-the-Ticket, Overpass-the-Hash — são aprofundados no Bloco XI, no contexto de Active Directory.)

As ferramentas de movimentação

As ferramentas de movimentação lateral executam comandos ou obtêm shells em máquinas remotas usando essas credenciais (ou hashes). As principais:

# crackmapexec / netexec — o canivete da movimentação lateral em rede
crackmapexec smb 10.10.10.0/24 -u admin -H <hash_ntlm>
#   testa o hash em toda a faixa — mostra onde a credencial funciona ("Pwn3d!")

crackmapexec smb 10.10.10.20 -u admin -p Senha123 -x "whoami"
#   executa um comando na máquina remota

# suíte impacket — ferramentas clássicas de execução remota
psexec.py administrador@10.10.10.20        # shell via SMB (estilo PsExec)
wmiexec.py administrador@10.10.10.20       # execução via WMI (mais discreto)
evil-winrm -i 10.10.10.20 -u admin -H <hash>   # shell via WinRM

Onde mais esta chave abre?

O crackmapexec/netexec brilha especialmente: dado um usuário e uma senha (ou hash), ele testa toda uma faixa de rede de uma vez e te diz exatamente em quais máquinas aquela credencial funciona — e onde ela dá acesso administrativo (o famoso "Pwn3d!"). É a materialização da ideia de "onde mais esta chave abre?". A suíte impacket (psexec, wmiexec, smbexec) oferece diferentes formas de obter execução remota, cada uma com trade-offs de discrição (o wmiexec, por exemplo, é mais furtivo que o psexec clássico).

O ciclo iterativo

O padrão que amarra tudo é o ciclo de movimentação lateral, iterativo, que você repete até alcançar o objetivo: comprometer uma máquina → extrair credenciais dela (dump de hashes, senhas em memória) → identificar onde essas credenciais funcionam (crackmapexec na faixa) → usar as credenciais para comprometer a próxima máquina → extrair suas credenciais → e assim por diante. Cada máquina comprometida potencialmente revela credenciais de contas mais privilegiadas, e o atacante "sobe" gradualmente até capturar as credenciais de um Domain Admin — o que, no mundo Active Directory (Bloco XI), significa o controle total da organização. É uma escalada em rede: não de privilégio numa máquina, mas de alcance através de muitas.

A pós-exploração se entrelaça

Vale ressaltar a natureza iterativa e integrada de toda a pós-exploração, que este bloco vem construindo. Enumeração, exploração, escalação, pivoting e movimentação lateral não são etapas lineares — elas se entrelaçam num ciclo. Você enumera a rede interna (pós-pivoting), identifica alvos, move-se lateralmente para um, escala privilégios nele, extrai credenciais, enumera de novo a partir dele, pivota mais fundo, move-se de novo. Esse ciclo se repete, penetrando cada vez mais, até o objetivo do engajamento ser alcançado. Compreender essa dança integrada é compreender como funciona um ataque real — muito mais complexo e paciente do que a imagem de "um exploit e pronto".

LAPS e o fim do reuso de credencial

Do lado defensivo, a movimentação lateral é um dos comportamentos que a defesa moderna mais prioriza conter e detectar, e as contramedidas são reveladoras: não reutilizar credenciais administrativas entre máquinas (a raiz do efeito cascata — soluções como o LAPS geram senhas de administrador local únicas por máquina, quebrando o Pass-the-Hash em cadeia); segmentação e menor privilégio (limitar onde cada conta pode se autenticar); proteger credenciais em memória (Credential Guard, para frustrar a extração que alimenta o PtH); MFA onde possível; e, crucialmente, detecção de comportamento anômalo de autenticação — uma conta administrativa autenticando-se em dezenas de máquinas em minutos, ou logins laterais incomuns, são assinaturas fortes de movimentação lateral que um bom monitoramento flagra. É aqui que o Blue Team (e o Purple Team da aula Red, Blue e Purple: os times da segurança) trabalha intensamente, porque conter a movimentação lateral é conter a diferença entre um incidente pequeno e uma catástrofe.

Fontes e leituras recomendadas

HackTricks — seções de "Lateral Movement" e "Pass the Hash"
CrackMapExec/NetExec e Impacket — documentação das suítes
MITRE ATT&CK — tática Lateral Movement (técnicas catalogadas)
TryHackMe / HackTheBox — laboratórios de rede AD para praticar o ciclo completo

Exercícios

Qual a diferença entre pivoting e movimentação lateral, e como eles trabalham juntos?

✓ Resposta:
Pivoting é sobre roteamento de rede — alcançar redes internas inacessíveis através de uma máquina comprometida. Movimentação lateral é sobre comprometer máquinas adicionais dentro dessas redes, usando credenciais. Trabalham juntos: pivota-se para alcançar a rede interna e então move-se lateralmente dentro dela, e cada máquina comprometida pode virar novo pivô.
Por que as credenciais são o "combustível" da movimentação lateral, e de onde elas tipicamente vêm?

✓ Resposta:
Porque a movimentação lateral usa acesso legítimo (credenciais) em vez de explorar vulnerabilidades, e credenciais frequentemente abrem múltiplas máquinas (reúso, contas de serviço amplas). Vêm de hashes extraídos do LSASS/SAM, senhas crackeadas, e credenciais achadas em arquivos, scripts e memória.
Explique o Pass-the-Hash: por que o atacante "não precisa da senha em texto claro"?

✓ Resposta:
O Windows autentica usando o hash NTLM da senha; o Pass-the-Hash apresenta esse hash diretamente para autenticar em outras máquinas, sem precisar da senha em texto claro. Como o hash é o que o sistema usa para provar identidade, possuí-lo basta — não é preciso crackeá-lo de volta à senha original.
Descreva o ciclo iterativo de movimentação lateral, do comprometimento de uma máquina ao alcance de um Domain Admin.

✓ Resposta:
Comprometer uma máquina → extrair suas credenciais/hashes → identificar (ex.: com crackmapexec) onde elas funcionam → comprometer a próxima máquina → extrair suas credenciais → repetir. A cada iteração, colhem-se credenciais de contas mais privilegiadas, subindo até capturar as de um Domain Admin, o que dá controle total do domínio.
Cite três contramedidas defensivas contra a movimentação lateral e explique como uma delas quebra o efeito cascata do Pass-the-Hash.

✓ Resposta:
Contramedidas: não reutilizar credenciais administrativas (ex.: LAPS, com senhas de admin local únicas por máquina), segmentação e menor privilégio, Credential Guard, MFA, detecção de autenticação anômala. O LAPS quebra o efeito cascata do PtH porque, com uma senha (e hash) de administrador local diferente em cada máquina, o hash extraído de uma não serve para autenticar em outras.