Atomic Red T1055

Invoke-AtomicTest T1055

Executa os testes atômicos de injeção de processos (T1055) com Atomic Red Team, validando a detecção da injeção no host.

Execute no laboratório de purple team quando quiser validar a detecção da injeção de processos: os atômicos de T1055 replicam as variantes (CreateRemoteThread, hollowing, injeção com PowerShell) e a equipe verifica o que foi detectado — Sysmon Event 8 (CreateRemoteThread), Event 10, o EDR. É a validação da detecção de injeção: a técnica real executada e a cobertura medida. No purple teaming, os atômicos de T1055 validam as regras de injeção e o resultado alimenta a matriz.

Não execute em produção: a injeção de processos gera os eventos reais e os EDRs podem bloqueá-la ou tratá-la como incidente — o laboratório é o lugar. O ruído é planejado. E atenção: T1055 é uma família de variantes (sub-técnicas e métodos): cada atômico valida uma variante — a cobertura é validada por método (CreateRemoteThread, hollowing). A injeção com técnicas modernas (sem os eventos clássicos) requer os atômicos específicos. A detecção do Sysmon Event 8 (a chamada a CreateRemoteThread) é a regra clássica que é validada; sua ausência é a lacuna.