Atomic Red T1543.003

Invoke-AtomicTest T1543.003

Executa o teste atômico de persistência por serviços (T1543.003) com Atomic Red Team, validando a detecção da criação de serviços pelo atacante.

Execute-o no laboratório de purple team quando quiser validar a detecção da persistência por serviços: o atômico T1543.003 cria um serviço do Windows (sc create) e a equipe verifica o que foi detectado — o Event 7045/4697 (serviço criado), Sysmon Event 1 (sc.exe), as regras do SIEM. É a validação da detecção da criação de serviços: a persistência clássica do atacante. No purple teaming, o atômico valida as regras de serviços e o resultado alimenta a matriz.

Não o execute em produção: a criação do serviço é uma mudança real no host de testes — o laboratório é o local e o serviço é removido ao final (o cleanup). O ruído é planejado. E atenção: o atômico valida a variante de sc create — as outras vias (PowerShell, instalar o serviço com binário) têm outros atômicos; a cobertura é validada por variante. A detecção do Event 7045 e do processo (sc.exe) são as camadas validadas; sem elas, o serviço de persistência do atacante é criado sem rastro.