Atomic Red T1136.001

Invoke-AtomicTest T1136.001

Executa o teste atômico de criação de contas locais (T1136.001) com Atomic Red Team, validando a detecção da criação de contas pelo atacante.

Execute-o no laboratório de purple team quando quiser validar a detecção da criação de contas: o atômico T1136.001 cria uma conta local (net user /add) e a equipe verifica o que foi detectado — o Event 4720 (conta criada), Sysmon Event 1 (net.exe), as regras do SIEM. É a validação da detecção da criação de contas: a persistência e o acesso alternativo do atacante. No purple teaming, o atômico valida as regras de contas e o resultado alimenta a matriz.

Não o execute em produção: a criação da conta é uma mudança real no host de testes — o laboratório é o local e a conta é removida ao final (o cleanup). O ruído é planejado. E atenção: o atômico valida a variante local (net user) — a criação no domínio (PowerShell, AD) tem outros atômicos; a cobertura é validada por variante. A detecção do Event 4720 e do processo (net.exe) são as camadas validadas; sem elas, a conta do atacante é criada sem rastro. A conta do teste (nome reconhecível) é removida no cleanup.