Na maioria dos ataques que viram notícia, o invasor não precisou de um zero-day. Ele entrou com uma credencial roubada de um funcionário comum e, em poucas horas, virou administrador do domínio. O caminho entre esses dois pontos quase sempre passa pelo Active Directory — o serviço de diretório da Microsoft que controla quem é quem e quem pode o quê na rede corporativa.
Empresas brasileiras sofreram uma média de 3.736 ataques por semana por organização em fevereiro de 2026, alta de 37% em relação ao ano anterior, segundo a Check Point Research. E relatórios de resposta a incidentes no setor financeiro da América Latina apontam Kerberoasting e Pass-the-Hash entre as técnicas mais observadas de movimentação lateral. Ou seja: o problema não é o invasor entrar. É o que ele consegue fazer depois.
Por que o AD é o alvo preferido
O Active Directory foi projetado nos anos 1990 para facilitar administração, não para resistir a adversários. Ele guarda todas as contas, grupos, políticas e relações de confiança da empresa em um lugar só. Quem controla o AD controla todos os servidores, todos os compartilhamentos de arquivo e todas as estações de trabalho ao mesmo tempo.
É por isso que praticamente todo ataque de ransomware moderno tem uma fase de AD: o operador precisa do domínio inteiro para criptografar tudo de uma vez, e não uma máquina isolada. Explicamos essa cadeia completa no artigo sobre como funciona um ataque de ransomware.
As quatro falhas que mais encontramos
Em testes de invasão de infraestrutura, quatro problemas se repetem em ambientes de todos os tamanhos:
- Kerberoasting — extração de tickets Kerberos de contas de serviço para quebrar a senha offline. Qualquer usuário autenticado no domínio pode solicitar esses tickets. Se a conta de serviço tem senha fraca ou usa criptografia RC4 em vez de AES, a quebra leva minutos em uma GPU comum. Contas de serviço criadas há dez anos, com senha que nunca girou e privilégio de administrador local em vinte servidores, são o achado clássico.
- Pass-the-Hash — reutilização do hash da senha sem precisar quebrá-lo. Se a mesma senha de administrador local está em todas as máquinas (imagem de instalação padronizada), comprometer uma estação entrega todas as outras.
- Delegação Kerberos mal configurada — servidores com delegação irrestrita guardam em memória os tickets de quem se conecta a eles. Um servidor de impressão com essa configuração e um administrador de domínio que abriu uma sessão nele resultam em comprometimento total.
- ACLs excessivas — permissões acumuladas ao longo de anos que permitem a um usuário sem privilégio aparente redefinir a senha de outro, adicionar-se a um grupo ou alterar objetos sensíveis. Ninguém configurou isso de propósito; foi sedimentando.
Nenhuma dessas falhas aparece em um scanner de vulnerabilidades. Não há CVE, não há patch. São configurações legítimas usadas de forma indevida — e por isso só um teste manual as encontra.
O que um pentest de AD faz na prática
O teste começa com um acesso deliberadamente limitado: uma conta de usuário comum, sem privilégios, como a de qualquer funcionário recém-contratado. A partir daí, o objetivo é responder a uma pergunta específica: quantos passos separam essa conta do Domain Admin?
O trabalho passa por enumerar o domínio, mapear caminhos de ataque entre objetos, identificar contas de serviço expostas, testar reutilização de credenciais entre máquinas e verificar relações de confiança entre domínios e com o Entra ID (antigo Azure AD) — que é onde ambientes híbridos costumam abrir as brechas menos óbvias.
O entregável não é uma lista de vulnerabilidades soltas. É o caminho: da conta X, via servidor Y, para o grupo Z. Isso muda a conversa com a diretoria, porque deixa de ser abstrato.
Cinco correções que valem mais que qualquer ferramenta nova
- Rotacione senhas de contas de serviço e migre para gMSA (Group Managed Service Accounts), onde o Windows gerencia senhas de 120 caracteres automaticamente. Isso mata o Kerberoasting na raiz.
- Desative RC4 nas políticas Kerberos e force AES. Sem RC4, a quebra offline fica economicamente inviável.
- Implante o LAPS (Local Administrator Password Solution) para que cada máquina tenha uma senha de administrador local única e rotacionada. Fim do Pass-the-Hash em massa.
- Audite as contas com privilégio e aplique tiering: administradores de domínio não fazem login em estações de trabalho comuns, ponto. É a medida mais barata e a mais ignorada.
- Revise a delegação Kerberos e elimine qualquer delegação irrestrita. Use delegação restrita baseada em recursos quando for realmente necessária.
Onde isso se encaixa no seu programa de segurança
Um pentest de Active Directory é parte de um pentest de infraestrutura, com escopo focado no ambiente Windows. Se a pergunta for mais ampla — "um atacante consegue chegar aos nossos dados críticos partindo do zero, incluindo phishing e engenharia social?" — o exercício adequado é Red Team. A diferença entre os dois está detalhada em Red Team vs. Pentest.
Vale lembrar que o acesso inicial que dá partida em toda essa cadeia costuma vir de engenharia social. Corrigir o AD reduz drasticamente o estrago quando — não se — alguém clicar no link errado.
Quer saber quantos passos separam um usuário comum do administrador do seu domínio? Fale com a LDL Security sobre Pentest de Infraestrutura →