Atomic Red T1548.002

Invoke-AtomicTest T1548.002

Executa os testes atômicos de bypass de UAC (T1548.002) com Atomic Red Team, validando a detecção da elevação de privilégios por UAC.

Execute no laboratório de purple team quando quiser validar a detecção do bypass de UAC: os atômicos de T1548.002 replicam os bypasses conhecidos (fodhelper, eventvwr, os do UACME) e a equipe verifica o que foi detectado — Sysmon Event 13 (a chave do bypass), as regras do SIEM, o EDR. É a validação da detecção da elevação: a técnica real do atacante. No purple teaming, os atômicos validam as regras de UAC e o resultado alimenta a matriz.

Não execute em produção: os bypasses modificam o registro e elevam processos — o laboratório é o lugar. E atenção: T1548.002 é uma família (os bypasses por registro, por binários autoElevate): cada atômico valida um bypass — a cobertura é validada por variante. A detecção da mudança na chave do bypass (Sysmon Event 13) é a regra clássica que é validada. Os bypasses modernos (os do UACME) evoluem: o atômico valida as variantes documentadas, as novas requerem os atômicos atualizados. O host de testes com UAC no nível padrão (o requisito do bypass).