📰 Informação fresquinha chegando para você!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Por Sila Ozeren Hacioglu, engenheira de pesquisa de segurança da Picus Security.
Uma pontuação de prevenção informa o que um controle reconhece. Não diz o que esse controle interrompe.
Agora em seu quarto ano, o Blue Report 2026 da Picus Labs mede o desempenho real da prevenção e detecção empresarial na produção, em mais de 338 milhões de simulações de ataque executadas em ambientes reais de clientes, de janeiro a junho de 2026.
A manchete é uma recuperação genuÃna, com uma ressalva: sim, a eficácia da prevenção aumentou de 62% para 69%, de volta ao seu pico de 2024.
Mas esse número é uma média de toda a pilha e mascara um interior mais suave e vulnerável.
Os mesmos controles que bloqueiam uma ferramenta de ataque bem conhecida permitem que uma versão mais silenciosa da mesma técnica passe direto por suas defesas. O que decide o resultado não é o produto instalado, mas o quão reconhecÃvel é o método do invasor e se alguém testou a variante silenciosa.
Os testes de segurança baseados em IOC e TTP medem coisas diferentes
A validade de uma defesa depende de qual das duas perguntas você faz a ela.
Os testes baseados em IOC perguntam se um controle reconhece algo ruim. Amostras de malware que circulam livremente são entregues como tentativas de download, e controles de perÃmetro, como firewalls, proxies da web e gateways de e-mail seguros, bloqueiam-nas ou não.
Para esta camada, este é o instrumento certo: parar conteúdo sabidamente ruim na borda é a finalidade desses controles.
O teste comportamental baseado em TTP pergunta se um controle interrompe a ação, por qualquer rota. Não "você pegou Mimikatz?" mas "um processo neste host pode obter material de credencial?"
Essa é a pergunta que os controles de endpoint e de detecção de intrusão precisam responder, porque no momento em que são envolvidos, o adversário quase sempre já está em execução.
Os artefatos são baratos para mudar; comportamento não é.
Sim, você precisa de ambos. E sim, você deve desafiar o pessoal de finanças que dirá que não.
A assimetria é estrutural e intencional.
Infelizmente, a vantagem também está diminuindo.
Nos dados deste ano, a taxa de prevenção baseada no COI para downloads de malware caiu para 50% nos ambientes dos clientes, de 60% no ano passado e 71% em 2024.
Até mesmo a camada que as assinaturas cobrem melhor está cedendo. E uma pontuação de aprovação aqui não diz nada sobre o comportamento subjacente, e é aà que entra o resultado do Mimikatz. Aqui está uma prévia: não é bom.
A prevenção baseada em assinaturas perdeu 21 pontos em dois anos
Seus controles interrompem a versão do ataque que eles reconhecem. Siga o mesmo comportamento por um caminho mais silencioso e ele seguirá em frente, enquanto seu último teste ainda diz coberto.
Veja o que sua pilha realmente para no Blue Report 2026 e teste o comportamento em vez do procedimento.
Baixe o relatório
Mude a forma como Mimikatz descarta credenciais e a prevenção cai de 94% para 3%
Com o Picus Autonomous Penetration Testing, os ambientes dos clientes executaram a mesma ferramenta, Mimikatz, com o mesmo objetivo de três maneiras. As pontuações de prevenção foram chocantes e não poderiam estar mais distantes.
O despejo de credenciais da memória do processo LSASS, o caminho clássico e com muitas assinaturas, foi bloqueado em 94% das tentativas. Bom.
Extrair credenciais RDP de outros locais de memória com a mesma ferramenta: 17%. Não é bom.
Lendo segredos LSA do registro local: 3%. TerrÃvel.
Todos os três são irmãos sob uma técnica pai, OS Credential Dumping (T1003), e todos os três terminam com o invasor segurando seu precioso material de credenciais.
A única variável era o quão visÃvel era a rota. Neste caso, o clássico “viva muito e prospere” do Sr. Spock se transformou em “entre silenciosamente e tenha sucesso”.
A mecânica explica a propagação.
O caminho LSASS é alto de maneira compatÃvel: um processo abre um identificador para lsass.exe e lê sua memória, em outras palavras, um evento que os fornecedores instrumentam há anos. Ler LSA Secrets nunca afeta lsass; ele é executado como SYSTEM e lê uma seção de registro, indistinguÃvel da atividade privilegiada comum. Um controle construÃdo em torno do primeiro evento não tem nada para disparar no segundo.
E mesmo esses 94% são mais finos do que parecem. Foi medido em relação a uma versão conhecida de uma ferramenta de código aberto, cuja capacidade de reconhecimento reside na forma como foi compilada, não no que faz.
Renomeie as strings nas quais há chaves de assinatura ou recompile-as, e os marcadores hash e indicadores se tornarão novos.
Carregue-o de forma reflexiva e o código nunca chegará ao disco para ser capturado.
Ou pule essa compilação e faça o mesmo dump com um utilitário assinado pela Microsoft, como ProcDump ou comsvcs.dll, e analise-o offline.
Cada um termina da mesma forma, um invasor com suas credenciais em mãos. O comportamento nunca muda. Somente o que a assinatura procurava funciona.
Dentro do meio ambiente, prevenção cai para 37%
Mimikatz é um comportamento; a mesma divisão percorre todo o interior. A Prevenção geral de 69%
Uma pontuação de prevenção informa o que um controle reconhece. Não diz o que esse controle interrompe.
Agora em seu quarto ano, o Blue Report 2026 da Picus Labs mede o desempenho real da prevenção e detecção empresarial na produção, em mais de 338 milhões de simulações de ataque executadas em ambientes reais de clientes, de janeiro a junho de 2026.
A manchete é uma recuperação genuÃna, com uma ressalva: sim, a eficácia da prevenção aumentou de 62% para 69%, de volta ao seu pico de 2024.
Mas esse número é uma média de toda a pilha e mascara um interior mais suave e vulnerável.
Os mesmos controles que bloqueiam uma ferramenta de ataque bem conhecida permitem que uma versão mais silenciosa da mesma técnica passe direto por suas defesas. O que decide o resultado não é o produto instalado, mas o quão reconhecÃvel é o método do invasor e se alguém testou a variante silenciosa.
Os testes de segurança baseados em IOC e TTP medem coisas diferentes
A validade de uma defesa depende de qual das duas perguntas você faz a ela.
Os testes baseados em IOC perguntam se um controle reconhece algo ruim. Amostras de malware que circulam livremente são entregues como tentativas de download, e controles de perÃmetro, como firewalls, proxies da web e gateways de e-mail seguros, bloqueiam-nas ou não.
Para esta camada, este é o instrumento certo: parar conteúdo sabidamente ruim na borda é a finalidade desses controles.
O teste comportamental baseado em TTP pergunta se um controle interrompe a ação, por qualquer rota. Não "você pegou Mimikatz?" mas "um processo neste host pode obter material de credencial?"
Essa é a pergunta que os controles de endpoint e de detecção de intrusão precisam responder, porque no momento em que são envolvidos, o adversário quase sempre já está em execução.
Os artefatos são baratos para mudar; comportamento não é.
Sim, você precisa de ambos. E sim, você deve desafiar o pessoal de finanças que dirá que não.
A assimetria é estrutural e intencional.
Infelizmente, a vantagem também está diminuindo.
Nos dados deste ano, a taxa de prevenção baseada no COI para downloads de malware caiu para 50% nos ambientes dos clientes, de 60% no ano passado e 71% em 2024.
Até mesmo a camada que as assinaturas cobrem melhor está cedendo. E uma pontuação de aprovação aqui não diz nada sobre o comportamento subjacente, e é aà que entra o resultado do Mimikatz. Aqui está uma prévia: não é bom.
A prevenção baseada em assinaturas perdeu 21 pontos em dois anos
Seus controles interrompem a versão do ataque que eles reconhecem. Siga o mesmo comportamento por um caminho mais silencioso e ele seguirá em frente, enquanto seu último teste ainda diz coberto.
Veja o que sua pilha realmente para no Blue Report 2026 e teste o comportamento em vez do procedimento.
Baixe o relatório
Mude a forma como Mimikatz descarta credenciais e a prevenção cai de 94% para 3%
Com o Picus Autonomous Penetration Testing, os ambientes dos clientes executaram a mesma ferramenta, Mimikatz, com o mesmo objetivo de três maneiras. As pontuações de prevenção foram chocantes e não poderiam estar mais distantes.
O despejo de credenciais da memória do processo LSASS, o caminho clássico e com muitas assinaturas, foi bloqueado em 94% das tentativas. Bom.
Extrair credenciais RDP de outros locais de memória com a mesma ferramenta: 17%. Não é bom.
Lendo segredos LSA do registro local: 3%. TerrÃvel.
Todos os três são irmãos sob uma técnica pai, OS Credential Dumping (T1003), e todos os três terminam com o invasor segurando seu precioso material de credenciais.
A única variável era o quão visÃvel era a rota. Neste caso, o clássico “viva muito e prospere” do Sr. Spock se transformou em “entre silenciosamente e tenha sucesso”.
A mecânica explica a propagação.
O caminho LSASS é alto de maneira compatÃvel: um processo abre um identificador para lsass.exe e lê sua memória, em outras palavras, um evento que os fornecedores instrumentam há anos. Ler LSA Secrets nunca afeta lsass; ele é executado como SYSTEM e lê uma seção de registro, indistinguÃvel da atividade privilegiada comum. Um controle construÃdo em torno do primeiro evento não tem nada para disparar no segundo.
E mesmo esses 94% são mais finos do que parecem. Foi medido em relação a uma versão conhecida de uma ferramenta de código aberto, cuja capacidade de reconhecimento reside na forma como foi compilada, não no que faz.
Renomeie as strings nas quais há chaves de assinatura ou recompile-as, e os marcadores hash e indicadores se tornarão novos.
Carregue-o de forma reflexiva e o código nunca chegará ao disco para ser capturado.
Ou pule essa compilação e faça o mesmo dump com um utilitário assinado pela Microsoft, como ProcDump ou comsvcs.dll, e analise-o offline.
Cada um termina da mesma forma, um invasor com suas credenciais em mãos. O comportamento nunca muda. Somente o que a assinatura procurava funciona.
Dentro do meio ambiente, prevenção cai para 37%
Mimikatz é um comportamento; a mesma divisão percorre todo o interior. A Prevenção geral de 69%
#samirnews #samir #news #boletimtec #seus #controles #bloqueiam #ataques #conhecidos. #e #quanto #ao #comportamento?
🎉 Obrigado por acompanhar, até a próxima notÃcia!
Postar um comentário