Impersonacao de Token.

Tecnica de elevacao de privilegios no Windows (MITRE ATT&CK T1134) em que o atacante duplica um token de acesso existente e o usa para executar codigo no contexto de outro utilizador. Pertence à categoria Identidade e acesso da cibersegurança.

Tecnica de elevacao de privilegios no Windows (MITRE ATT&CK T1134) em que o atacante duplica um token de acesso existente e o usa para executar codigo no contexto de outro utilizador.

A impersonacao de token abusa do modelo de tokens do Windows: cada thread pode transportar um token de acesso que define em nome de quem atua. Atraves de APIs como OpenProcessToken, DuplicateTokenEx e ImpersonateLoggedOnUser (ou SetThreadToken), um atacante com privilegio suficiente (normalmente SeImpersonatePrivilege, SeAssignPrimaryToken ou SeDebugPrivilege) pode roubar um token de privilegio mais elevado — por exemplo o token SYSTEM do services.exe — e criar um novo processo como esse utilizador. Frameworks como o steal_token do Cobalt Strike, o modulo incognito do Metasploit e o token::elevate do Mimikatz automatizam a tecnica. O ATT&CK cataloga-a como T1134 Access Token Manipulation com as subtecnicas Make and Impersonate Token, Create Process with Token e Parent PID Spoofing. A detecao foca-se em anomalias dos Sysmon Event 1/10 e na correlacao de 4673/4624 por token-id.

As defesas contra Impersonacao de Token costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: manipulacao de tokens de acesso, T1134.