A maioria das violações começa num dispositivo comum: um portátil que abriu um e-mail de phishing, uma conta com uma palavra-passe reutilizada ou um dispositivo desconhecido que se ligou ao Wi‑Fi do escritório. O que transforma esse primeiro ponto de apoio num incidente grave é aquilo a que o atacante consegue aceder a seguir. Esse passo seguinte chama-se movimento lateral.
Para muitas organizações, um atacante pode alcançar muito. Relatório de 2026 da Zero Networks sobre exposição a movimentos laterais, com base na atividade em 312 ambientes empresariais, concluiu que 80% dos servidores empresariais são acessíveis a partir de qualquer ponto dentro da rede. Os protocolos de acesso remoto que as equipas de TI usam todos os dias, como RDP e SSH, funcionam igualmente bem para um atacante na posse de credenciais roubadas.
Este guia explica o que é um ataque de movimento lateral, como os atacantes passam de um sistema para o seguinte, as técnicas em que mais se apoiam e como ataques reais aconteceram. Também aborda como detetar movimento lateral e os controlos que limitam até onde um atacante pode chegar depois de estar no interior.
O que é um ataque de movimento lateral?
Um ataque de movimento lateral é o conjunto de técnicas que um atacante utiliza após obter acesso inicial para se mover do primeiro dispositivo comprometido para outros sistemas, contas e partes da rede. Normalmente, os atacantes recorrem a credenciais roubadas e a ferramentas administrativas legítimas enquanto avançam em direção a alvos de elevado valor, como controladores de domínio, servidores de ficheiros e dados sensíveis.
MITRE ATT&CK, a base de conhecimento amplamente utilizada sobre o comportamento de atacantes, cataloga o movimento lateral como a tática TA0008 e agrupa nove técnicas dentro dela. A maioria deles explora protocolos que já estão em execução na rede, incluindo RDP, SMB, SSH e WinRM. Como as equipas de TI utilizam os mesmos protocolos todos os dias, o movimento lateral muitas vezes parece atividade administrativa de rotina.
O movimento lateral é frequentemente confundido com a elevação de privilégios, e os atacantes geralmente combinam os dois. Movimento lateral significa alcançar novos sistemas. Elevação de privilégios significa obter permissões mais elevadas num sistema que o atacante já controla. Um ataque típico alterna entre os dois: o atacante eleva privilégios num anfitrião para recolher credenciais mais fortes e, em seguida, usa essas credenciais para chegar ao seguinte.
Porque é que os atacantes dependem do movimento lateral
O primeiro dispositivo que um atacante compromete raramente é aquele que realmente quer. O movimento lateral dá-lhes um caminho desse ponto de partida para tudo o resto:
Alcançar sistemas de alto valor. Um portátil alvo de phishing no marketing é importante devido àquilo a que se pode ligar, como controladores de domínio, servidores de ficheiros, aplicações financeiras e sistemas de cópia de segurança.
Recolher credenciais mais fortes. Cada novo host pode conter palavras-passe em cache, hashes ou tickets de outros utilizadores, incluindo administradores e contas de serviço.
Criar persistência. Pontos de apoio em várias máquinas permitem que um atacante permaneça no ambiente mesmo depois de a TI limpar o primeiro dispositivo infetado.
Preparar um ganho ainda maior. Os operadores de ransomware propagam-se ao maior número possível de sistemas antes de encriptarem o que quer que seja, enquanto as campanhas de roubo de dados recolhem discretamente informações ao longo de semanas ou meses.
Misturar-se. A atividade distribuída por protocolos normais de administração e contas válidas gera menos alertas do que malware que anuncia a sua presença.
Até onde um atacante consegue avançar após o primeiro comprometimento determina, em grande medida, a gravidade do incidente.
Como funciona um ataque de movimento lateral
O movimento lateral segue um ciclo reconhecível. Sempre que o atacante chega a um novo sistema, repete as fases intermédias até chegar onde quer.
Fase 1: Acesso inicial
O ataque começa com um ponto de apoio. Os pontos de entrada comuns incluem um email de phishing, uma palavra-passe roubada ou reutilizada, um serviço de acesso remoto exposto ou um dispositivo não autorizado ligado à rede.
Nesta fase, o atacante costuma controlar um sistema de baixo valor com permissões limitadas.
Etapa 2: Reconhecimento interno
Em seguida, o atacante mapeia o ambiente a partir do interior. Procuram outros hosts, partilhas de ficheiros, contas de utilizador e de administrador, e portas abertas a que conseguem aceder a partir do dispositivo comprometido.
Os atacantes fazem isto muitas vezes com ferramentas já integradas no sistema operativo, o que deixa menos ficheiros ou processos novos para as ferramentas de segurança assinalarem.
Fase 3: acesso a credenciais
Para avançar mais, o atacante precisa de credenciais. Obtém-nas da memória do sistema comprometido, recolhe palavras-passe guardadas ou em cache, ou captura credenciais que os utilizadores escrevem.
Palavras-passe partilhadas e reutilizadas tornam esta fase muito mais fácil, porque um único segredo roubado pode desbloquear muitos sistemas.
Etapa 4: Passar para o sistema seguinte
Com as credenciais em mãos, o atacante autentica-se noutro host, frequentemente através de um protocolo de administração padrão. Quando as credenciais não chegam, podem explorar um serviço por corrigir no alvo.
Do ponto de vista da rede, esta etapa pode parecer um início de sessão normal.
Fase 5: Alcançar o objetivo
Quando o atacante chega a um sistema valioso, age em função do seu objetivo. Isso pode significar copiar dados sensíveis, implementar ransomware em muitos anfitriões de uma só vez ou manter discretamente o acesso para mais tarde.
Os atacantes limpam frequentemente os registos ou removem ferramentas ao longo do processo para dificultar a investigação.
As fases 2 a 4 repetem-se em cada novo host, e é por isso que uma conta comprometida pode transformar-se em acesso a todo um ambiente.
Técnicas comuns de movimento lateral
O MITRE ATT&CK acompanha os métodos específicos que os atacantes usam para se mover entre sistemas. Um pequeno conjunto deles aparece na maioria das intrusões no mundo real, e cada um é limitado por um conjunto diferente de controlos.
Serviços remotos (T1021)
Com serviços remotos, o atacante inicia sessão noutro host com credenciais roubadas através de um protocolo de administração normal, como RDP, SMB e partilhas de administração do Windows, SSH ou WinRM. Ferramentas como PsExec e o acesso remoto do PowerShell tornam isto rápido, e o tráfego parece trabalho diário de TI.
A oportunidade é grande. A Zero Networks concluiu que 87% dos servidores empresariais aceitam RDP ou SSH de entrada a partir de fontes internas amplas, e 78% estão acessíveis através de SMB ou WinRM.
Pass the hash e pass the ticket (T1550)
Estas técnicas permitem aos atacantes autenticar-se com material de autenticação roubado em vez de uma palavra-passe. Pass the hash reutiliza um hash de palavra-passe NTLM, e pass the ticket reutiliza um ticket Kerberos. Ferramentas como o Mimikatz extraem este material diretamente da memória de uma máquina comprometida.
A autenticação legada mantém estes ataques viáveis. A Zero Networks informa que 43,2% da autenticação interna ainda funciona com NTLM.
Exploração de serviços remotos (T1210)
Quando não estão disponíveis credenciais válidas, um atacante pode explorar uma vulnerabilidade num serviço em execução noutro anfitrião interno. Os sistemas internos são frequentemente corrigidos mais lentamente do que os expostos à internet, o que deixa vulnerabilidades conhecidas abertas durante mais tempo.
Sequestro de sessão de serviço remoto (T1563)
No sequestro de sessão, o atacante assume o controlo de uma sessão SSH ou RDP existente que um utilizador legítimo já abriu. Como a sessão já está autenticada, o atacante herda o acesso desse utilizador sem precisar das suas credenciais.
Transferência lateral de ferramentas (T1570)
Quando o atacante consegue aceder a um novo host, copia para lá as ferramentas de que precisa, como malware, scripts ou utilitários de administração. Isto acontece normalmente através de SMB, o mesmo canal usado para partilha de ficheiros.
Spearphishing interno (T1534)
Um atacante que controla uma caixa de correio legítima pode lançar ataques de phishing a colegas a partir de dentro da organização. As mensagens provenientes da conta de um colega real são muito mais convincentes do que e-mails externos, o que faz desta uma forma eficaz de recolher mais credenciais.
A tabela abaixo resume como cada técnica funciona e que controlos a limitam.
Técnica (ID MITRE) | Como os atacantes o utilizam | O que o limita |
Serviços remotos (T1021) | Iniciar sessão noutros hosts com credenciais roubadas através de RDP, SMB, SSH ou WinRM | Segmentação de rede, acesso à rede com privilégios mínimos, MFA no acesso de administrador, protocolos de administração limitados a hosts de administração |
Pass the hash e pass the ticket (T1550) | Reutilizar hashes NTLM roubados ou bilhetes Kerberos sem a palavra-passe | Proteção de credenciais na memória, redução da utilização de NTLM, limitação dos locais onde as contas privilegiadas iniciam sessão, deteção de endpoints |
Exploração de serviços remotos (T1210) | Explorar um serviço sem patch noutro anfitrião | Aplicação de correções, juntamente com segmentação para que os serviços vulneráveis não sejam acessíveis a partir de dispositivos de utilizador |
Sequestro de sessão de serviço remoto (T1563) | Assumir o controlo de uma sessão SSH ou RDP existente | Tempos limite de sessão, gestão de chaves SSH, monitorização de sessões privilegiadas |
Transferência lateral de ferramentas (T1570) | Copiar malware ou ferramentas para o host seguinte, normalmente através de SMB | Deteção de endpoints, bloqueando SMB entre estações de trabalho |
Spearphishing interno (T1534) | Fazer phishing a colegas de trabalho a partir de uma caixa de correio interna comprometida | Segurança de e-mail, sensibilização dos utilizadores, MFA resistente a phishing |
Há mais uma via que merece atenção porque ignora por completo a etapa de phishing. Se uma rede aceitar qualquer dispositivo que conheça uma palavra-passe Wi‑Fi partilhada, ou qualquer dispositivo ligado a uma porta com fios aberta, um atacante com essa palavra-passe ou acesso físico começa na rede interna sem qualquer conta comprometida. Controlar que dispositivos podem aderir à rede, e onde ficam ligados, fecha essa via.
Exemplos de ataques de movimento lateral
As técnicas acima aparecem repetidamente em incidentes bem documentados. Estes três exemplos mostram como o movimento lateral transformou um único ponto de entrada num comprometimento muito maior.
NotPetya (2017)
O NotPetya propagou-se dentro das redes roubando credenciais da memória com uma versão modificada do Mimikatz e, em seguida, usando PsExec e WMI para se executar noutras máquinas, conforme descrito no alerta da CISA sobre o malware e na análise da Mandiant. Também utilizou o exploit SMB EternalBlue contra hosts sem correção.
Como o método baseado em credenciais dependia de inícios de sessão válidos, o NotPetya também podia infetar máquinas que estavam totalmente corrigidas contra o EternalBlue. As credenciais de administrador partilhadas e reutilizadas permitiram-lhe mover-se rapidamente pelas redes ligadas entre si.
Comprometimento da cadeia de abastecimento da SolarWinds (2020)
Na campanha SolarWinds, os atacantes entraram através de uma atualização trojanizada do software SolarWinds Orion, de acordo com o aviso CISA AA20-352A. Uma vez no interior, a CISA informou que se deslocaram lateralmente utilizando WMI e tarefas agendadas remotas.
Os atacantes também escalaram privilégios no Active Directory e falsificaram tokens de autenticação, o que lhes permitiu mover-se de redes no local para ambientes na cloud como o Microsoft 365.
Ransomware Akira (2023 até ao presente)
O aviso AA24-109A da CISA descreve afiliados da Akira a obter acesso inicial através de VPNs sem MFA e, depois, a recolher credenciais com ferramentas como Mimikatz e LaZagne. Antes de se moverem lateralmente, é comum desativarem o software de segurança para evitar a deteção.
O aviso também observa que os agentes do Akira usam ferramentas legítimas de acesso remoto para persistirem e passarem despercebidos, um padrão comum entre os grupos modernos de ransomware.
Em cada caso, os danos aumentaram em função da distância a que os atacantes conseguiam mover-se e do número de credenciais que conseguiam reutilizar.
Como detetar movimentos laterais
O movimento lateral é difícil de detetar porque utiliza contas válidas e ferramentas normais de administração, mas ainda assim deixa padrões que se destacam da atividade quotidiana. Os sinais comuns incluem:
Uma conta a autenticar-se em muitos hosts num curto espaço de tempo. Os utilizadores regulares normalmente iniciam sessão num conjunto pequeno e previsível de sistemas.
Tráfego de protocolo de administração entre estações de trabalho. As ligações RDP, SMB ou WinRM entre dois portáteis de funcionários raramente têm um motivo legítimo.
Ferramentas de administração em execução a partir de máquinas inesperadas. PsExec, PowerShell remoting ou comandos remotos de WMI iniciados a partir de um endpoint não administrativo merecem uma análise mais atenta.
Inícios de sessão que quebram o padrão normal do utilizador. Esteja atento a horários invulgares, dispositivos desconhecidos ou acesso a sistemas fora da função do utilizador.
Picos de falhas na autenticação. Falhas repetidas em servidores, Wi‑Fi ou VPN podem indicar adivinhação de palavras-passe ou teste de credenciais.
Dispositivos novos ou desconhecidos na rede. Vale a pena investigar de imediato um dispositivo que ninguém reconhece num segmento sensível.
Estes sinais vêm de várias fontes, pelo que a visibilidade depende de os reunir. As ferramentas de deteção e resposta de endpoint (EDR) mostram a atividade de processos e credenciais em cada host. Os registos de autenticação do Windows mostram quem iniciou sessão e onde. A monitorização da rede mostra que sistemas comunicam entre si. Os registos de autenticação da rede, como os registos RADIUS, mostram que utilizadores e dispositivos se ligaram a redes Wi‑Fi, VPN ou com fios, e quando.
Como impedir o movimento lateral
Nenhum controlo isolado impede todas as técnicas de movimento lateral. A abordagem mais eficaz combina dois objetivos: limitar o que um atacante consegue alcançar a partir de qualquer dispositivo e limitar as credenciais que consegue roubar e reutilizar.
1. Segmentar a rede por função e nível de confiança
A segmentação divide a rede em zonas para que utilizadores, convidados, dispositivos IoT e servidores fiquem em segmentos separados, com rotas controladas entre eles. Um dispositivo comprometido num segmento de convidados ou BYOD não deve ter qualquer caminho para sistemas financeiros nem para controladores de domínio.
A segmentação funciona melhor quando a implementação está associada à identidade, em vez de ser mantida manualmente. O nosso guia sobre segmentação de rede explica como planeá-la e aplicá-la.
2. Autenticar todos os dispositivos antes de entrarem na rede
Use 802.1X em redes Wi‑Fi e com fios para que cada utilizador ou dispositivo prove quem é antes de obter acesso. As credenciais por utilizador ou por dispositivo substituem uma palavra-passe partilhada que qualquer pessoa com proximidade física ou com uma palavra-passe comprometida poderia usar.
Isto fecha o caminho em que um atacante simplesmente liga um dispositivo à rede e começa a mover-se a partir daí.
3. Substitua as palavras-passe reutilizáveis por certificados sempre que possível
A autenticação de rede baseada em certificados, como EAP-TLS, associa o acesso a um certificado instalado num dispositivo gerido. Não existe nenhuma palavra-passe de rede que um atacante possa obter por phishing, adivinhar ou recolher e reutilizar noutro sistema.
4. Aplicar o princípio do menor privilégio às contas
Dê aos administradores contas separadas para trabalho administrativo e limite os locais onde as contas privilegiadas podem iniciar sessão. Adicione MFA ao acesso de administrador para que uma palavra-passe roubada, por si só, não possa desbloquear sistemas de elevado valor.
Menos credenciais privilegiadas em cache nas estações de trabalho do dia a dia significa menos para um atacante recolher na fase de acesso a credenciais.
5. Restringir protocolos de administração
Permita RDP, SMB, WinRM e SSH apenas a partir dos hosts que deles necessitam, como estações de trabalho de administração designadas. Bloqueie o tráfego entre estações de trabalho nestes protocolos, o que elimina muitos dos caminhos usados para serviços remotos e transferência lateral de ferramentas.
6. Aplicar patches aos serviços internos de forma consistente
Os sistemas internos merecem a mesma atenção em termos de aplicação de patches que os expostos à internet. Combinada com a segmentação, a aplicação atempada de patches mantém os serviços vulneráveis fora de alcance e limita a exploração de serviços remotos.
7. Monitorize a autenticação e responda rapidamente
Centralize os registos de endpoints, servidores e autenticação de rede para que padrões suspeitos fiquem visíveis num único local. Combine essa visibilidade com EDR e um plano de resposta testado, para que uma conta ou dispositivo comprometido possa ser isolado antes de o atacante avançar mais.
Como o Foxpass limita o movimento lateral na periferia da rede
Foxpass, da Splashtop, fornece serviços RADIUS, PKI e LDAP alojados na cloud que controlam quem e o que se pode ligar à sua rede. Ajuda as equipas de TI a implementar verificações de identidade em todas as ligações Wi-Fi, VPN e com fios, o que limita até onde um atacante pode ir a partir de um dispositivo comprometido.
1. Acesso à rede e segmentação baseados na identidade
Foxpass Cloud RADIUS autentica cada utilizador ou dispositivo antes de se ligar à rede e, em seguida, atribui-o a uma VLAN com base na associação a grupos de diretório no Google Workspace, Okta, Microsoft Entra ID, OneLogin ou LDAP. Um dispositivo de convidado ou BYOD é colocado num segmento restrito, enquanto os dispositivos das equipas financeira e de engenharia são colocados nos seus próprios segmentos.
Se um desses dispositivos for comprometido, o atacante começa num segmento com rotas limitadas para o resto da rede. Saiba mais sobre a segmentação dinâmica baseada em identidade com Foxpass.
2. Autenticação sem palavra-passe baseada em certificados
O Foxpass Cloud PKI emite certificados para dispositivos através de integrações MDM e SCEP, para que os dispositivos geridos se possam ligar com EAP-TLS. Com a autenticação baseada em certificados, não existe uma palavra-passe de Wi‑Fi partilhada para roubar e reutilizar.
Para equipas que ainda não estão preparadas para migrar todos os dispositivos para certificados, o Foxpass também suporta EAP-TTLS com credenciais individuais de utilizador, o que continua a substituir uma única palavra-passe partilhada por acesso por utilizador.
3. Acesso que segue o seu diretório
Como o acesso à rede está associado à pertença a grupos do diretório, as alterações no seu fornecedor de identidade refletem-se na rede. Quando alguém sai da organização ou muda de função, o respetivo acesso à rede e a colocação em segmentos mudam em conformidade, o que fecha o acesso a credenciais desatualizadas que os atacantes visam frequentemente.
O Foxpass também regista tentativas de acesso por VLAN e política. Esses registos mostram que utilizadores e dispositivos se ligaram, quando e a que segmento, o que apoia o trabalho de deteção descrito anteriormente.
O Foxpass controla quem entra na rede e onde fica. Não inspeciona o tráfego entre dispositivos que já estão no mesmo segmento, por isso funciona melhor em conjunto com EDR, controlos de contas com privilégio mínimo e as outras práticas acima.
Reduza o raio de impacto antes de um atacante o encontrar
O movimento lateral transforma um único dispositivo comprometido num incidente à escala de toda a organização, e o alcance do atacante determina até onde esse incidente vai. Limitar que dispositivos podem aderir à rede, onde cada um é colocado e que credenciais podem ser reutilizadas dá aos atacantes muito menos lugares para onde ir.
Foxpass ajuda as equipas de TI a aplicar verificações de identidade e certificados a todas as ligações de rede sem executar internamente servidores RADIUS ou PKI. Inicie uma avaliação gratuita para ver como o Foxpass se adapta à sua rede.
