O Sysinternals é um conjunto de utilitários avançados de diagnóstico e troubleshooting para Windows, criado em 1996 por Mark Russinovich (com Bryce Cogswell) e adquirido pela Microsoft em 2006. As ferramentas são gratuitas para uso pessoal e corporativo, em geral portáteis (executáveis únicos, sem instalação), assinadas digitalmente pela Microsoft, e expõem estruturas internas do Windows (processos, threads, handles, DLLs, objetos do kernel, registro, rede, disco) que as ferramentas nativas não mostram com o mesmo detalhe.
Fontes OFICIAIS (sempre prefira estas — garantem autenticidade e assinatura):
Serviço que permite executar qualquer ferramenta direto da internet, sem extrair localmente. Útil para troubleshooting rápido em máquinas onde não se quer/pode copiar binários.
LIMITAÇÕES: requer conectividade até live.sysinternals.com; bloqueado em muitas redes corporativas por política de proxy/firewall (intencionalmente).
"}, {"code": "0.4", "title": "ACEITE DO EULA", "disp": "Aceite do EULA", "grav": "", "badges": [["cat", "Fundamentos"]], "body": "Na primeira execução de cada ferramenta é exibido um contrato de licença (EULA) que deve ser aceito. Em automação/deploy em massa isso atrapalha; há duas formas de pré-aceitar:
Symbols (PDBs) traduzem endereços de memória em nomes de funções, permitindo ler stacks de threads (Process Explorer, Process Monitor, ProcDump, LiveKd). Sem symbols, você vê endereços crus; com symbols, vê nomes de funções do Windows.
A maioria das ferramentas mostra MAIS informação quando elevada (processos de outros usuários, processos do sistema, integridade, etc.). Process Explorer e Process Monitor, por exemplo, exigem elevação para ver tudo e para recursos como captura de stacks de kernel.
No próprio Process Explorer há também File > Show Details for All Processes, que reinicia a ferramenta elevada.
"}, {"code": "0.7", "title": "VERIFICAÇÃO DE AUTENTICIDADE", "disp": "Verificação de Autenticidade", "grav": "", "badges": [["cat", "Fundamentos"]], "body": "Todos os binários oficiais são assinados pela Microsoft. Para validar:
A suíte Sysinternals possui mais de 70 utilitários. Algumas ferramentas são complexas (Process Explorer, Process Monitor, Autoruns, Sysmon) e recebem tratamento completo, com cada menu, coluna, botão e filtro. Outras são utilitários de função única (ex.: Junction, Hex2dec, PendMoves) que, por natureza, NÃO possuem menus/colunas/filtros; para essas, os itens que não se aplicam são marcados como "(Não se aplica)", sem inventar elementos inexistentes na interface.
Várias ferramentas (PsExec, ProcDump em processos sensíveis, Sysmon, RootkitRevealer) expõem ou manipulam estruturas internas do Windows. Use SEMPRE com a devida autorização, em ambiente controlado, respeitando políticas corporativas e a legislação aplicável (LGPD/privacidade). Coleta forense deve seguir cadeia de custódia.
"}]}, {"id": "G", "title": "CONCEITOS FUNDAMENTAIS", "desc": "Base conceitual para quem nunca usou as ferramentas: processos, threads, handles, DLLs, serviços, drivers, kernel, registro, permissões, logs, rede, memória — em linguagem simples, com analogias e passo a passo de pré-requisitos.", "disp": "Conceitos Fundamentais", "sub": "Comece por aqui: o vocabulário e os pré-requisitos, sem depender de conhecimento prévio.", "entries": [{"code": "G.1", "title": "COMECE AQUI", "disp": "Comece aqui: como usar este guia", "grav": "", "badges": [["cat", "Fundamentos"]], "body": "Este material foi escrito para usuários não técnicos, técnicos iniciantes, profissionais de suporte (help desk), analistas de infraestrutura, administradores de sistemas e equipes de troubleshooting Windows. Você NÃO precisa saber o que é um processo, serviço, driver, registro, handle, DLL, thread ou kernel para começar — esta Parte explica cada um desses conceitos em linguagem simples, com analogias do dia a dia.
Independentemente do problema, o raciocínio é sempre o mesmo. Guarde esta sequência:
O Windows é dividido em duas \"camadas\": uma camada interna e protegida, chamada kernel (modo kernel), e uma camada externa onde rodam os seus programas, chamada modo usuário. Pense num restaurante: o salão (modo usuário), onde os clientes — seus aplicativos — fazem pedidos; e a cozinha trancada (kernel), onde o trabalho perigoso com fogo e facas acontece. Os clientes nunca entram na cozinha; eles fazem pedidos pela porta.
Um processo é um programa em execução. Quando você abre o Bloco de Notas, o Windows cria um processo para ele. Fechou o Bloco de Notas? O processo termina. Um mesmo programa pode ter vários processos abertos ao mesmo tempo (por exemplo, várias janelas do navegador).
Pense num processo como uma \"caixa\" que o Windows dá a cada programa: dentro dela ficam o código do programa, a memória que ele usa, os arquivos que abriu e a identidade de quem o iniciou. Cada caixa é isolada das outras.
A relação pai/filho denuncia anomalias. Exemplo clássico: o Word (WINWORD.EXE) normalmente NÃO inicia o PowerShell. Se você vê WINWORD.EXE como pai de powershell.exe, é forte sinal de uma macro maliciosa. A baseline de processos legítimos está em 3.5.
Para ver, investigar e encerrar processos: Process Explorer (visual) e PsList/PsKill (linha de comando). Para ver O QUE um processo faz com arquivos e registro: Process Monitor.
"}, {"code": "G.4", "title": "O QUE É UM THREAD", "disp": "O que é um Thread (linha de execução)", "grav": "", "badges": [["cat", "Fundamentos"]], "body": "Se o processo é o funcionário, os threads são as mãos dele: cada thread é uma \"linha de execução\" que faz uma tarefa ao mesmo tempo que as outras. Um processo tem pelo menos um thread, mas pode ter dezenas — é assim que um programa baixa um arquivo, mostra a tela e responde ao mouse ao mesmo tempo.
Cada thread tem uma stack (pilha de chamadas): a lista de funções que ele está executando naquele instante, uma dentro da outra. Ler a stack é como abrir a agenda do thread e ver \"o que ele está fazendo agora\". Para que os nomes das funções apareçam (em vez de números), é preciso configurar os símbolos — ver 0.5.
Quando um processo precisa usar um recurso do sistema — um arquivo, uma chave do registro, uma conexão, um objeto de sincronização — o Windows não entrega o recurso \"na mão\": entrega um handle, que funciona como uma ficha de guarda-volumes. Com a ficha (o handle), o processo pede operações (\"ler este arquivo\", \"escrever aqui\"). Enquanto o processo segura a ficha, o recurso fica \"em uso\".
Arquivos, chaves de registro, processos, threads, eventos, mutexes, seções de memória, tokens e mais. A lista completa está em 3.11.
"}, {"code": "G.6", "title": "O QUE É UMA DLL", "disp": "O que é uma DLL (biblioteca compartilhada)", "grav": "", "badges": [["cat", "Fundamentos"]], "body": "Uma DLL (Dynamic-Link Library, \"biblioteca de vínculo dinâmico\") é um arquivo de código pronto que vários programas podem usar — como uma caixa de ferramentas compartilhada. Em vez de cada programa carregar seu próprio martelo, todos pegam o martelo da caixa comum. Assim o Windows economiza memória e padroniza funções (abrir janelas, imprimir, acessar a internet).
Um serviço é um programa que roda em segundo plano, normalmente sem janela e sem você abrir — como os funcionários dos bastidores de um hotel. O serviço de impressão (Spooler), o Windows Update, o antivírus e a rede são serviços. Eles podem iniciar automaticamente quando o Windows liga, mesmo antes de alguém fazer logon.
Muitos serviços do Windows não têm um .exe próprio; eles são \"hospedados\" dentro de um processo chamado svchost.exe (Service Host). Por isso é NORMAL ver dezenas de svchost.exe. O importante: todo svchost.exe legítimo é filho de services.exe e fica em C:\\Windows\\System32. Um svchost.exe com outro pai ou em outra pasta é suspeito (ver 3.5).
Um serviço pode ser Automático, Automático (Início Atrasado), Manual, Manual (por Gatilho) ou Desabilitado. A tabela explicada está em 3.8. Os serviços críticos que NÃO se deve desabilitar estão em 3.6.
Um driver é um software tradutor entre o Windows e uma peça de hardware (placa de vídeo, rede, disco, impressora) ou um recurso de baixo nível. O Windows fala \"genérico\"; o driver traduz para o idioma específico daquele dispositivo. Sem o driver certo, o hardware não funciona ou funciona mal.
A maioria dos drivers roda no modo kernel — a camada protegida e poderosa. Um erro num programa comum apenas fecha o programa; um erro num driver pode derrubar a máquina inteira com uma tela azul (BSOD). Drivers também podem causar alto uso de CPU em \"Interrupts/DPCs\", travamentos e consumo de memória do kernel (pool).
Drivers modernos devem ser assinados digitalmente (ver assinatura e hash) — uma garantia de origem e integridade. Driver não assinado em uso é sinal de atenção. Valide assinatura com Sigcheck e veja a lista de drivers carregados no Autoruns (aba Drivers).
A RAM (memória) é a bancada de trabalho do computador: tudo que está em uso fica nela porque é rápida. O disco é o armário: guarda muito, mas é lento. Quando a bancada lota, o Windows guarda parte do que está aberto no disco (no arquivo de paginação / pagefile) para liberar espaço — isso se chama paginação, e é o que deixa o PC lento quando falta RAM.
RAM \"cheia\" em geral é BOM e NORMAL. O Windows usa a RAM livre como cache (lista Standby) para acelerar tudo; esse cache é devolvido na hora em que um programa precisar. RAM ociosa é RAM desperdiçada. O problema real não é \"RAM cheia\", e sim paginação constante (o PC vivendo do disco) ou um programa que cresce sem parar (vazamento).
O Registro (Registry) é o grande banco de configurações do Windows: uma base hierárquica, parecida com pastas e arquivos, onde o sistema e os programas guardam ajustes (\"qual programa abre cada tipo de arquivo\", \"o que inicia junto com o Windows\", configurações de serviços, etc.).
Editar o registro errado pode impedir o Windows de iniciar. Por isso: faça backup/exportação da chave antes de mexer (ver abrir o Editor do Registro com segurança). O malware adora o registro porque é onde ele garante persistência (reiniciar junto com o Windows). As permissões de chave estão em 3.10.
No Windows, sua conta tem um nível de poder. Um usuário comum (Padrão) pode usar o computador, mas não alterar o sistema. Um administrador pode instalar programas, mexer em arquivos do sistema e no registro. A maioria das ferramentas Sysinternals mostra MAIS informação (e só funciona por completo) quando executada como administrador.
Mesmo logado como administrador, por segurança você roda \"rebaixado\" no dia a dia. Quando uma ação exige poder de administrador, aparece a janela do UAC pedindo confirmação (\"Deseja permitir que este aplicativo faça alterações?\"). Clicar em \"Sim\" eleva o programa. Ver o passo a passo em abrir como administrador.
\"Funciona como admin mas falha como usuário\" quase sempre é permissão. O método infalível: capture com o Process Monitor e filtre por Result = ACCESS DENIED para achar o arquivo/chave exato; depois confirme as permissões efetivas com o AccessChk. Roteiro completo em 2.17 e combinação em 4.7.
"}, {"code": "G.12", "title": "LOGS E EVENTOS", "disp": "Logs e o Visualizador de Eventos", "grav": "", "badges": [["cat", "Fundamentos"]], "body": "Um log é o diário de bordo do sistema: o Windows e os programas anotam o que acontece (algo iniciou, algo falhou, alguém logou). Quando um problema é intermitente, o log costuma ter a pista do que ocorreu — e quando.
É a janela onde se leem os logs do Windows. Os principais ficam em \"Logs do Windows\": Aplicativo, Sistema e Segurança. Cada entrada tem um Event ID (número que identifica o tipo de evento), uma origem, um nível (Informação/Aviso/Erro/Crítico) e a data/hora. Passo a passo para abrir em G.17.
Event 41 (Kernel-Power) .. a máquina desligou/reiniciou sem encerrar direito\n (queda de energia, travamento, superaquecimento).\nEvent 1001 (BugCheck) ..... registro de uma tela azul (BSOD) e seu código.\nEvent 6005/6006 ........... log de eventos iniciou / foi encerrado (liga/desliga).\nEvent 7/51/153/129 (disco) erros de disco/I-O = hardware de disco suspeito.\nEvent 7000/7009/7011/7031/7034 (Service Control Manager) .. serviço falhou/\n travou/encerrou inesperadamente.
O Sysmon é uma ferramenta Sysinternals que, depois de instalada, grava continuamente um log MUITO mais rico (criação de processos com linha de comando, conexões de rede, DNS, etc.) no próprio Visualizador de Eventos. É a base de investigações de segurança. Catálogo de Event IDs do Sysmon em 3.4.
"}, {"code": "G.13", "title": "REDE EM 2 MINUTOS", "disp": "Rede em 2 minutos (IP, porta, TCP/UDP, DNS)", "grav": "", "badges": [["cat", "Fundamentos"]], "body": "Uma conexão TCP nasce, vive e morre, passando por estados: LISTENING (porta aberta esperando), ESTABLISHED (conversando), TIME_WAIT/CLOSE_WAIT (encerrando). A tabela explicada está em 3.2. Saber ler estados ajuda a distinguir o normal do problema (ex.: muitos CLOSE_WAIT = programa com defeito que não fecha conexões).
Uma assinatura digital é como o lacre de segurança de um produto: prova quem fabricou o arquivo (o \"signatário\", ex.: \"Microsoft Corporation\") e que ele não foi adulterado depois de assinado. Um arquivo do sistema sem assinatura, ou com signatário inesperado, merece atenção.
Certificados podem ser roubados; malware pode vir assinado. E o contrário também: nem todo arquivo sem assinatura é malicioso. Por isso nunca decida por um único sinal — combine assinatura + reputação + caminho + comportamento.
Um hash (MD5, SHA-256) é a \"impressão digital\" de um arquivo: um código que muda completamente se um único byte mudar. Serve para (a) reconhecer um arquivo conhecido e (b) consultar a reputação dele em serviços como o VirusTotal SEM enviar o arquivo (mais privado).
Serviço que checa um arquivo (por hash ou enviando-o) contra dezenas de antivírus e mostra quantos o detectam (ex.: 38/72). Várias ferramentas Sysinternals consultam o VirusTotal por hash automaticamente. \"0 detecções\" não é garantia total; muitas detecções é forte suspeita.
Processo .......... um programa em execução (ver G.3).\nThread ............ uma linha de execução dentro de um processo (G.4).\nHandle ............ \"ficha\" de um recurso aberto (arquivo, chave...) (G.5).\nDLL ............... biblioteca de código compartilhada (G.6).\nServiço ........... programa de segundo plano (G.7).\nDriver ............ tradutor entre Windows e hardware (G.8).\nKernel ............ núcleo protegido do Windows (G.2).\nRegistro .......... banco de configurações do Windows (G.10).\nACL ............... lista de permissões de um objeto (G.11 / 3.9 / 3.10).\nSID ............... identificador único de uma conta/grupo (G.11).\nPID / PPID ........ numero do processo / numero do processo pai (G.3).\nUAC ............... janela que pede confirmação para elevar (G.11).\nElevar ............ rodar um programa como administrador (G.16).\nSnapshot .......... \"foto\" do estado atual (ex.: Process Explorer).\nLog ............... diário de bordo de eventos (G.12).\nEvent ID .......... numero que identifica um tipo de evento (G.12 / 3.4).\nDump (.dmp) ....... copia da memória de um processo/sistema p/ análise (1.09).\nSymbols (PDB) ..... traduzem endereços em nomes de função nas stacks (0.5).\nStack ............. pilha de chamadas de um thread (G.4).\nHash .............. \"impressão digital\" de um arquivo (G.14).\nAssinatura ........ lacre digital que prova origem/integridade (G.14).\nVirusTotal ........ serviço que checa um arquivo em vários antivirus (G.14).\nPersistência ...... como um programa garante reiniciar junto ao Windows (1.04).\nADS ............... fluxo de dados oculto anexado a um arquivo NTFS (1.16).\nMutex ............. handle usado para \"única instância\" (G.5 / 3.11).\nPool .............. memória do kernel/drivers (G.9 / 1.10).\nPaginação ......... uso do disco como extensão da RAM (G.9).\nPagefile .......... arquivo de paginação no disco (G.9).\nC2 / beacon ....... canal de comando de malware p/ \"casa\" (1.05).\nIOC ............... indicador de comprometimento (hash, IP, mutex...) (5.3).\nPPL ............... processo protegido; limita inspeção mesmo p/ admin (1.01).\nBaseline .......... referência do \"normal\" p/ comparar (3.5 / 5.1)."}, {"code": "G.16", "title": "ABRIR COMO ADMINISTRADOR", "disp": "Passo a passo: abrir o Prompt/PowerShell como administrador", "grav": "", "badges": [["cat", "Fundamentos"], ["flag", "ADMIN"]], "body": "
Muitas ferramentas só funcionam por completo quando executadas com poder de administrador (\"elevadas\"). Abaixo, o passo a passo COMPLETO, sem etapas implícitas.
Se o Sysmon estiver instalado, navegue no painel esquerdo até: Logs de Aplicativos e Serviços > Microsoft > Windows > Sysmon > Operational.
Filtre por nível Erro/Crítico e pelos Event IDs úteis listados em G.12. Anote a data/hora do evento para correlacionar com o que estava acontecendo na máquina.
"}, {"code": "G.18", "title": "EDITOR DO REGISTRO COM SEGURANÇA", "disp": "Passo a passo: abrir o Editor do Registro com segurança (e exportar backup)", "grav": "", "badges": [["cat", "Fundamentos"], ["flag", "RISCO"]], "body": "Editar o registro errado pode impedir o Windows de iniciar. NUNCA altere uma chave sem antes exportá-la. Considere também criar um ponto de restauração (ver G.19).
No Editor do Registro, você pode colar o caminho completo na barra de endereço (no topo) e pressionar Enter para saltar direto. Muitas chaves neste guia aparecem em caixas com botão Copiar.
Antes de qualquer alteração arriscada (mexer no registro, desabilitar serviços/drivers, remover persistência), crie uma rede de segurança para poder voltar atrás se algo quebrar.
O ponto de restauração protege configurações e arquivos de sistema, NÃO é backup dos seus dados pessoais. Para dados, mantenha backup próprio. Em infecção por malware, um ponto de restauração pode não ser confiável (pode conter o malware).
"}]}, {"id": "1", "title": "FERRAMENTAS", "desc": "Estrutura de até 30 pontos por ferramenta: finalidade, quando usar, pré-requisitos, interface (menus, botões, colunas, filtros), fluxos básico→avançado, cenários (suporte, corporativo, forense, troubleshooting), interpretação, limitações, boas práticas e checklist.", "disp": "Ferramentas", "sub": "Cada utilitário da suíte, do Process Explorer ao DebugView e PsTools.", "entries": [{"code": "1.01", "title": "PROCESS EXPLORER (procexp.exe / procexp64.exe)", "disp": "Process Explorer (procexp)", "grav": "", "badges": [["cat", "Processos"], ["flag", "ADMIN"]], "body": "Gerenciador de processos avançado (substituto "turbinado" do Gerenciador de Tarefas). Mostra a árvore de processos (pai/filho), DLLs e handles abertos por cada processo, uso de CPU/RAM/GPU/IO/rede por processo, integridade, assinatura digital, linha de comando, usuário, threads e suas stacks. Permite matar/suspender processos, alterar prioridade/afinidade, verificar reputação no VirusTotal e localizar qual processo mantém um arquivo/pasta aberto.
O Process Explorer não tem um motor de filtros como o Process Monitor, mas: "Show Processes From All Users" filtra por escopo; ordenar por coluna funciona como triagem (ex.: ordenar por CPU desc.); "Find Handle or DLL" filtra processos pelo recurso aberto; e o código de cores funciona como filtro visual.
Monitor de atividade em TEMPO REAL e com HISTÓRICO de sistema de arquivos, Registro, processos/threads, rede e (com profiling) atividade de processos. Combina e supera os antigos Filemon e Regmon. Cada evento traz processo, PID, operação, caminho, resultado (ex.: SUCCESS, NAME NOT FOUND, ACCESS DENIED), detalhes e a STACK que originou a chamada. É a ferramenta-rei para descobrir "o que o programa estava tentando fazer quando falhou".
Cada regra tem COLUNA | RELAÇÃO | VALOR | AÇÃO (Include/Exclude). Relações: is / is not / less than / more than / begins with / ends with / contains / excludes.
Ver a tabela completa em Códigos do Process Monitor. Resumo: SUCCESS (ok); NAME/PATH NOT FOUND (alvo inexistente, frequentemente normal); ACCESS DENIED (permissão — causa clássica de "só como admin"); SHARING VIOLATION (arquivo em uso); BUFFER OVERFLOW/TOO SMALL (normal, API em duas etapas); REPARSE (link/junction); FAST IO DISALLOWED (normal).
Permissões NTFS/Registro incorretas; arquivo/chave ausente após migração; software mal empacotado; malware estabelecendo persistência.
Recurso do Process Monitor que carrega um driver no início do boot para registrar a atividade de arquivos/Registro/processos/rede DESDE as fases iniciais da inicialização, antes mesmo do logon. Indispensável para boot lento, drivers/serviços que falham cedo e rootkits que atuam na inicialização.
Administrador; espaço em disco para o log de boot. Habilitado via Options > Enable Boot Logging. O diálogo permite "Generate thread profiling events" e o intervalo. O log é gravado em %WINDIR%\\\\Procmon.pmb (convertido para .PML ao abrir o Procmon no próximo boot). Menus/colunas/filtros: idênticos ao Process Monitor.
Operações com Duration alta = gargalos; Result com erros = falha de serviço/driver. Causas: driver/serviço mal comportado, dependência ausente, disco lento, malware. Correção: desabilitar/atualizar o item culpado (Autoruns, services.msc), reparar dependências, substituir disco.
Não captura as fases mais primitivas do firmware/bootloader; o driver só registra a partir de seu carregamento, e aumenta o tempo do boot logado. Erro comum: esquecer ligado; analisar sem ordenar por Duration.
Exibe TUDO que é configurado para iniciar automaticamente no Windows: chaves Run/RunOnce, pasta de Inicializar, serviços, drivers, tarefas agendadas, extensões de Explorer/IE/Edge, codecs, BHOs, providers de rede (LSA, WinLogon, Winsock), gadgets, WMI e muito mais. É a ferramenta nº 1 para localizar persistência de malware e auditar o que carrega no início. Autorunsc é a versão de linha de comando (scripts/coleta em massa).
autorunsc -accepteula -a * -h -s -vt -c (CSV com hash, assinatura e VirusTotal)
Desabilitar (desmarcar) primeiro; confirmar; depois deletar a entrada e o arquivo. Reverter se algo legítimo quebrar.
Mostra o que VAI iniciar, não o que já rodou; técnicas de persistência muito novas podem não ter categoria dedicada. Erro comum: deletar entrada legítima; confundir órfã (amarela) com infecção ativa.
Lista, em tempo real, todas as conexões TCP e endpoints UDP, ligando cada uma ao processo dono (PID, nome), com endereços/portas locais e remotos, estado da conexão e taxa de envio/recebimento. Versões recentes incluem resolução de nomes, filtros e verificação no VirusTotal. Tcpvcon é a versão CLI.
Administrador para ver todos os processos e fechar conexões. Cliente Win10/11, Server 2016+.
Ver estados completos em Estados TCP. LISTENING = serviço aguardando (normal em servidores). ESTABLISHED para IP externo desconhecido por processo não confiável = suspeito. Muitos TIME_WAIT/CLOSE_WAIT = esgotamento de portas / leak de socket. Causas: malware, app com leak de conexão, porta conflitante. Correção: encerrar/atualizar app, remover malware, reconfigurar porta.
Não mostra payload; resolução DNS pode atrasar/poluir (e pode alertar o atacante via DNS reverso). Erro comum: matar processo de sistema por porta legítima; confundir TIME_WAIT (normal) com problema.
Resolver endereços com cautela; correlacionar com Process Explorer (aba TCP/IP) e Sysmon Event ID 3.
Lista handles (objetos abertos: arquivos, chaves, mutexes, seções, etc.) por processo, via linha de comando. Equivalente CLI ao painel de handles do Process Explorer. Ideal para responder "qual processo está com este arquivo aberto?" em scripts e servidores sem GUI.
Administrador (carrega driver); -accepteula no 1º uso. Cliente Win10/11, Server 2016+.
handle [-a] [-c] [-l] [-p <proc|PID>] [-s] [-u] [nome_objeto] [-nobanner]
Muitos handles do mesmo tipo crescendo = leak (bug do app). Arquivo preso por um serviço: parar/atualizar o serviço. Causas: app não fecha recursos; antivírus/indexador segurando arquivos. Correção: encerrar/atualizar o processo dono; como último recurso, fechar o handle (-c) ciente do risco. Tipos de handle: ver Tipos de handle.
Fechar handle à força pode desestabilizar o app/sistema. Preferir encerrar o processo dono; usar -c só em último caso e fora de produção. Confirmar processo/handle exatos antes de agir.
Lista as DLLs carregadas por processos, com caminho completo, versão e (opcionalmente) assinatura. Detecta DLLs não assinadas e DLLs carregadas de caminhos suspeitos (DLL hijacking).
listdlls [-r] [-u] [-v] [-d <dll>] [<proc|PID>] [-accepteula]
Cenários: forense (DLL injection/hijack); troubleshooting (conflito de versão de DLL — "DLL hell"). Ver outras combinações e tipos de DLL em Tipos de DLL.
DLL não assinada em AppData/Temp dentro de processo legítimo = forte suspeita de injeção/hijack. Correção: remover a DLL e a persistência. Combine com Process Explorer e Sigcheck.
Snapshot; não mostra carga futura. Erro comum: confundir DLL legítima de terceiro com malware.
Serviço + driver de filtro que, uma vez instalado, PERMANECE residente entre reboots e registra atividade detalhada do sistema no Log de Eventos do Windows (canal Microsoft-Windows-Sysmon/Operational): criação de processos com linha de comando e hashes, conexões de rede, carga de drivers/imagens, criação de arquivos/streams, alterações de Registro, acesso a processos, criação de pipes, eventos WMI, DNS e detecção/bloqueio de executáveis. É a base de telemetria para detecção de ameaças e investigação (SIEM/EDR caseiro). Roda como processo protegido; NÃO analisa nem se esconde — apenas coleta.
Sysmon NÃO tem GUI própria. A "interface" é: (a) linha de comando para instalar/configurar; (b) Visualizador de Eventos (eventvwr) em Applications and Services Logs > Microsoft > Windows > Sysmon > Operational; (c) arquivo de configuração XML (filtros e schema); (d) ferramentas externas de leitura (Event Viewer, PowerShell Get-WinEvent, SIEM).
sysmon -accepteula -i [config.xml] instala o serviço/driver com a config\nsysmon -c [config.xml] atualiza a configuração em execução\nsysmon -c -- reseta para a configuração padrão\nsysmon -m instala o manifesto de eventos (ETW)\nsysmon -u [force] desinstala serviço e driver\nsysmon -s imprime o schema de configuração atual
"Botões": Não se aplica (sem GUI) — a ação se dá por parâmetros de CLI e por regras no XML.
ID 1 Process creation (criação de processo + linha de comando + hashes)\nID 2 A process changed a file creation time (timestomping)\nID 3 Network connection (conexão de rede TCP/UDP)\nID 4 Sysmon service state changed\nID 5 Process terminated\nID 6 Driver loaded (com assinatura/hash)\nID 7 Image loaded (DLL/imagem — alto volume; configurar com cuidado)\nID 8 CreateRemoteThread (injeção de thread em outro processo)\nID 9 RawAccessRead (leitura bruta de disco — evasão)\nID 10 ProcessAccess (acesso a outro processo, ex.: dump de LSASS)\nID 11 FileCreate (criação/sobrescrita de arquivo)\nID 12 Registry object create/delete (chave/valor)\nID 13 Registry value set\nID 14 Registry key/value rename\nID 15 FileCreateStreamHash (ADS / Zone.Identifier — mark of the web)\nID 16 Sysmon config change\nID 17 Pipe created\nID 18 Pipe connected\nID 19 WmiEventFilter activity\nID 20 WmiEventConsumer activity\nID 21 WmiEventConsumerToFilter activity\nID 22 DNS query (consulta DNS)\nID 23 FileDelete (delete arquivado, preserva cópia)\nID 24 ClipboardChange\nID 25 ProcessTampering (image hollowing/herpaderping)\nID 26 FileDeleteDetected (delete sem arquivar)\nID 27 FileBlockExecutable\nID 28 FileBlockShredding\nID 29 FileExecutableDetected\nID 255 Error (erro interno do Sysmon)
Tabela navegável também em Event IDs do Sysmon.
Causas: comprometimento, ferramenta de ataque, ou atividade administrativa legítima (precisa de baseline). Resposta: isolar host, encerrar processo (PsKill), remover persistência (Autoruns), coletar dump (ProcDump), bloquear IOCs.
Não analisa nem alerta sozinho; não se oculta de atacantes; exige config bem feita; ID 7 é alto volume; pode ser desinstalado por admin/atacante. Erro comum: instalar sem config (ruído) ou com ID 7 amplo demais; não encaminhar/centralizar logs.
Gera arquivos de dump (memória) de processos sob condições definidas: pico de CPU, travamento (hang), exceção não tratada (crash), uso de memória, performance counter, ou imediatamente. Essencial para capturar o estado de um processo problemático para análise posterior no WinDbg/Visual Studio. Pode rodar como monitor de AeDebug (dump automático em crash).
Administrador; processos protegidos têm limites. Symbols ajudam na análise posterior (no debugger, não no ProcDump). Cliente Win10/11, Server 2016+.
procdump [opções] <proc|PID> [caminho_dump] [-accepteula]
O .dmp é analisado em debugger; ProcDump apenas captura. !analyze -v no WinDbg aponta a stack/exceção. Causas: bug de código, deadlock, exhaustion de recurso. Correção: corrigir/atualizar a aplicação; ajustar recursos; reportar ao fornecedor anexando o dump.
Analisa o uso da memória FÍSICA (RAM) do sistema todo, mostrando como cada página está classificada: em uso por processos, cache de arquivos (standby), modificada, livre, alocações de driver/kernel, memória de hardware, etc. Responde "para onde foi minha RAM?" no nível do sistema (não por processo).
Administrador. Cliente Win10/11, Server 2016+.
File > Refresh (F5). Menu Empty (uso diagnóstico, não rotina): Empty Working Sets, Empty System Working Set, Empty Modified Page List, Empty Standby List, Empty Priority 0 Standby List.
RAM "sumindo" sem processo culpado (cache/driver); diagnóstico de leak de pool de driver; validar comportamento de cache em servidores de arquivo. Correlacione com VMMap (ver RAMMap + VMMap).
Standby grande é NORMAL e benéfico (cache; pode ser recuperado). Nonpaged pool/Driver Locked crescente = provável leak de driver. Modified grande pendente de gravação pode indicar disco lento. Correção: atualizar/remover o driver vazando (use poolmon/Driver Verifier para confirmar o tag do pool).
Snapshot; esvaziar listas é diagnóstico (pode degradar desempenho temporariamente ao perder cache). Não usar "Empty" em produção como rotina. Erro comum: confundir Standby (cache útil) com "RAM desperdiçada". Correlacionar com Performance Monitor (Pool Nonpaged Bytes) e poolmon.
Analisa o uso de memória VIRTUAL de UM processo: committed, private, shareable, shared, image, mapped file, heap, stack, page table, free, reserved. Detalha cada região do espaço de endereços. Ideal para diagnosticar fragmentação e vazamento de memória de um aplicativo específico.
Admin recomendado; symbols ajudam em heap/stack. Interface: seletor de processo; painel-resumo por tipo (Committed/Private/etc.); lista de regiões (endereço, tamanho, tipo, proteção, detalhes); gráfico de barras por categoria; painel inferior com sub-blocos da região selecionada. Menus: File > Select Process / Open (snapshot salvo) / Save (.mmp); View; Options > symbols. Suporta abrir snapshots para comparação (timestamps).
Leak de heap em app .NET/nativo; fragmentação impedindo alocações grandes ("out of memory" mesmo com RAM livre); análise pré-otimização. Combine com RAMMap (ver RAMMap + VMMap).
Crescimento contínuo de Private/Heap entre snapshots = leak. Muito Free fragmentado entre regiões Reserved = fragmentação. Correção: corrigir o app, atualizar runtime, ajustar alocador.
Snapshot por processo; analisa um processo por vez. Erro comum: tirar conclusão de leak com um único snapshot — use múltiplos snapshots para tendência e combine com Process Explorer (Private Bytes) e debugger para a stack de alocação.
Mostra os direitos de acesso efetivos que usuários/grupos têm sobre arquivos, pastas, chaves de Registro, serviços, processos, objetos do kernel, compartilhamentos, etc. Responde "quem pode fazer o que neste objeto?" — chave para auditoria de permissões e para diagnosticar ACCESS DENIED encontrado no Process Monitor.
Melhor elevado (lê mais objetos). Cliente Win10/11, Server.
accesschk [-opções] [usuário_ou_grupo] <objeto> [-accepteula]
accesschk -accepteula "Usuarios" -wus C:\\\\Pasta (onde Users pode escrever)\naccesschk -k -s "Everyone" HKLM\\\\Software (escrita em chaves por Everyone)\naccesschk -c "Authenticated Users" * (permissões em serviços)\naccesschk -p -f notepad.exe (token/permissões do processo)
"RW" para Everyone/Users em local sensível (serviço, Program Files, chave HKLM) = risco. Sem acesso para o usuário que precisa = causa do erro. Correção: ajustar ACL (icacls/sc sdset) ao mínimo necessário; revalidar. Ver permissões em NTFS e Registro.
Só leitura/auditoria; não altera permissões. Erro comum: interpretar herança incorretamente; esquecer privilégios que sobrepõem ACL (SeBackup etc.). Rodar elevado; usar -s com cuidado (volume); script para fleet.
GUI que varre uma árvore de arquivos/pastas OU uma árvore do Registro e lista, de forma resumida, quem tem permissões de Leitura/Escrita/Negação, destacando diferenças em relação à herança do pai (onde as permissões "fogem" do padrão). Ótimo para achar pontos onde alguém tem acesso indevido em massa.
Admin (para ler ACLs). Interface: campo de caminho + botões "Directory..." e "Registry..." para escolher a raiz; botão "Scan"; lista com colunas Path, Read, Write, Deny; menu Options (ex.: "Show Read and Write Accesses Only", comparar com permissões do diretório pai); botões Compare e Save (relatório).
Suporte/corporativo (auditar shares e pastas de perfil); forense (achar pastas graváveis por todos onde malware poderia se alojar); hardening. Linha onde Write inclui "Everyone"/"Users" em local sensível = risco. Diferença em relação ao pai = ponto que quebrou a herança. Correção: alinhar ACLs/herança.
Foca em Read/Write/Deny resumidos (menos granular que AccessChk). Combine com AccessChk para detalhe; salvar relatório de baseline; validar herança e grupos.
Verifica assinatura digital, versão, hashes e metadados de arquivos; consulta o VirusTotal por hash (e opcionalmente envia binários); lista certificados de armazenamentos; detecta arquivos NÃO assinados em diretórios do sistema (caça a binários suspeitos). Excelente para triagem de integridade e malware.
Leitura dos arquivos; internet para VT. Cliente Win10/11, Server.
sigcheck [-opções] <arquivo|pasta> [-accepteula]
sigcheck -a -h C:\\\\Windows\\\\System32\\\\suspeito.exe\nsigcheck -e -u -s C:\\\\Windows\\\\System32 (não assinados em System32)\nsigcheck -h -vt -s C:\\\\Users\\\\Pub\\\\Downloads (hash + VirusTotal recursivo)
Forense (achar binários não assinados/maliciosos em pastas do sistema; obter hashes para IOC); corporativo (auditar integridade); suporte (confirmar que um .exe é legítimo). "Unsigned"/"Unverified" em local de sistema = suspeito; VirusTotal > 0 = provável malware; signatário diferente do esperado = adulteração. Combine com Autoruns/ListDLLs e Autoruns + Sigcheck.
Assinatura válida não garante benignidade (certificados roubados); -vs envia o binário a terceiros (cuidado com sigilo). Preferir -vt por hash; usar -c para alimentar planilha/SIEM. Erro comum: confiar cegamente em "Signed".
Extrai sequências de texto ASCII e Unicode de arquivos binários. Útil para triagem de malware (URLs, IPs, nomes de mutex, comandos embutidos).
strings [-a] [-b bytes] [-n min] [-o] [-s] [-u/-l] <arquivo> [-accepteula]\n -n <min> tamanho mínimo; -s recursivo; -o offset; -u só Unicode; -a só ASCII
Exemplo: strings -accepteula -n 6 suspeito.exe | findstr /i "http .onion cmd powershell"
Forense/IR (extrair URLs/C2, caminhos, chaves); triagem de phishing. URLs/IPs/comandos embutidos = pistas; ausência de strings úteis sugere packer (ver memória via Process Explorer). Combine com Sigcheck (ver Sigcheck + Strings).
Estático; packers ocultam. Comparar disco x memória; não tirar conclusão só de strings.
Lista e remove Alternate Data Streams (ADS) em volumes NTFS. ADS ocultam dados anexados a arquivos (malware usa; Zone.Identifier marca downloads).
streams [-s] [-d] <arquivo|pasta> [-accepteula]\n -s recursivo; -d DELETA os streams encontrados (cuidado)
Exemplos: streams -accepteula -s C:\\\\Users\\\\Pub\\\\Downloads (lista ADS); streams -s -d C:\\\\quarentena (remove ADS — destrutivo).
Forense (dados ocultos em ADS); suporte (remover Zone.Identifier que bloqueia execução); troubleshooting de "arquivo bloqueado pela web". Stream não-Zone.Identifier inesperado = suspeito; tamanho grande em ADS = dados ocultos. Inspecionar antes de -d; remover após análise.
Só NTFS; -d é destrutivo. Listar antes de remover; não apagar Zone.Identifier sem necessidade ou ADS legítimo.
Cria, exibe e remove junction points (NTFS directory reparse points) — "links" de diretório. Também revela junctions ocultas.
junction [-s] [-q] [-d <junction>] <junction> [destino] [-accepteula]\n (sem destino) mostra; -s recursivo; -d remove; <junction> <destino> cria
Exemplos: junction -accepteula C:\\\\link C:\\\\destino (cria); junction -s C:\\\\ (lista); junction -d C:\\\\link (remove).
Suporte (redirecionar pastas cheias para outro volume); forense (detectar junctions usadas para esconder/duplicar dados); troubleshooting de REPARSE. Junctions inesperadas em pastas de sistema/usuário = atenção. Remover (-d) junctions indevidas.
Junction points são diretório-para-diretório. Documentar links criados. Deletar a junction NÃO apaga o destino (mas ferramentas antigas podiam) — cuidado.
PendMoves lista operações de rename/delete de arquivos AGENDADAS para o próximo boot (chave PendingFileRenameOperations / MoveFileEx com DELAY_UNTIL_REBOOT). MoveFile agenda mover/apagar um arquivo no próximo boot (útil para arquivos em uso).
pendmoves [-accepteula] (apenas lista)\nmovefile <origem> <destino> (destino vazio "" = apagar no boot)
Exemplos: pendmoves (ver pendências); movefile C:\\\\preso.dll "" (apagar no reboot).
Suporte (instalação pede reboot e nada acontece → ver pendmoves; remover DLL/arquivo travado por malware/AV agendando exclusão no boot). Muitas pendências travadas podem impedir updates; origem inexistente = entrada órfã. Limpar a chave PendingFileRenameOperations após análise.
Efetivado apenas no próximo reboot. Revisar antes de reiniciar; não agendar exclusão de arquivo legítimo.
Cria um VHD/VHDX (imagem de disco virtual) de um disco/volume FÍSICO de uma máquina EM EXECUÇÃO (usa VSS para consistência). Permite P2V (físico para virtual) e captura de imagem para análise/backup/migração.
Admin (VSS). Interface: lista de volumes (marcar quais incluir); caminho do VHDX de saída; opções "Use Vhdx" (formato moderno, recomendado) e "Use Volume Shadow Copy"; botão "Create".
Corporativo (P2V de servidor legado); forense (imagem para exame isolado); suporte (snapshot pré-mudança). VHDX criado e montável = sucesso. Falha de VSS = serviço/espaço. Correção: liberar espaço, validar VSS, destino separado.
Não é backup incremental; drivers da máquina física podem não bootar direto na VM (pode exigir ajustes). Destino separado; validar boot da VM; espaço suficiente.
Cria até 4 desktops virtuais do Windows (objetos "desktop" reais do Windowing), alternáveis por atalho. Útil para organizar janelas (anterior aos desktops virtuais nativos do Win10+).
Permissões: usuário. Roda na bandeja; pequeno grid 2x2; configura atalho de troca. Fluxo: executar; definir hotkey; clicar num quadrante para trocar de desktop.
Não dá para mover janela entre desktops; logoff fecha tudo; não há como fechar um desktop após criado sem logoff. Preferir desktops nativos no Win10/11.
Escreve informações do sistema (nome da máquina, IP, SO, usuário, domínio, memória, etc.) diretamente no PAPEL DE PAREDE. Padrão em servidores para identificação rápida via RDP.
Permissões: usuário (admin para alguns campos/deploy). Editor estilo "bloco de notas" com campos inseríveis (botão "Fields"), formatação; botões: Apply, Desktops, Background, Position, Preferences. Salva config em .bgi.
bginfo config.bgi /timer:0 /silent /nolicprompt /accepteula /popup
Corporativo (frota de servidores rotulados); suporte (identificação). Estático após aplicar (re-executar para atualizar); usar /timer:0 /silent em GPO/logon.
Ferramenta de apresentação: zoom de tela, anotação/desenho sobre a tela, temporizador de intervalo, e (versões recentes) gravação de tela e zoom ao vivo. Indispensável em treinamentos/demos técnicas.
Permissões: usuário. Roda na bandeja; aba de configuração de hotkeys: Zoom (padrão CTRL+1), LiveZoom (CTRL+4), Draw (CTRL+2), Type (texto), Break/timer (CTRL+3), Record/Demo; opções de cor/espessura de caneta. Fluxo: definir hotkeys; CTRL+1 para ampliar; arrastar mouse para desenhar; digitar para anotar; CTRL+3 para o cronômetro.
Treinamento de uso das próprias ferramentas Sysinternals; demos. Configurar hotkeys que não conflitem com o app demonstrado.
Navegador do namespace do Object Manager do kernel do Windows (\\\\GLOBAL??, \\\\Device, \\\\Driver, \\\\BaseNamedObjects, \\\\Sessions, etc.). Mostra objetos do kernel: dispositivos, drivers, seções, mutexes, eventos, links simbólicos, ALPC.
Admin (vê mais). Interface: árvore (esquerda) do namespace + lista (direita) de objetos com Nome, Tipo, SymLink; duplo clique mostra propriedades/ACL; menus View/Find. Fluxo: navegar até \\\\BaseNamedObjects; procurar mutex citado como IOC; checar \\\\GLOBAL?? para letras de drive/symlinks; ver \\\\Device para dispositivos.
Forense (mutex de malware como indicador de infecção/single-instance); troubleshooting de drivers/devices; aprendizado de internals. Leitura/exploração; não altera. Correlacionar mutex com a amostra de malware.
Monitora e registra toda a atividade de disco (setores lidos/escritos) em tempo real; pode atuar como "luz de atividade" do disco na bandeja.
Admin. Interface: lista com tempo, duração, disco, operação (Read/Write), setor, tamanho; botões de capturar, limpar, salvar; opção de minimizar como LED na bandeja. Fluxo: executar elevado; capturar; reproduzir a carga; parar; analisar setores/tamanhos/operações.
Troubleshooting de I/O intenso; correlacionar DiskMon + Procmon. Não associa diretamente ao processo (use Procmon para isso); volume alto. Usar como complemento ao Procmon.
Monitora atividade de portas SERIAIS (COM) e PARALELAS (LPT) em tempo real, mostrando dados e controle de fluxo. Útil para equipamentos legados/industriais.
Admin. SOs mais antigos são melhor suportados; em Windows recente o suporte é limitado/legado. Interface: lista de eventos (tempo, porta, request, dados); menus para escolher portas (Computer > Connect Local), capturar, limpar, salvar. Fluxo: conectar à máquina local; selecionar a porta COM/LPT; capturar; operar o dispositivo; analisar o tráfego de bytes/IRPs.
Suporte a automação industrial e dispositivos seriais legados. Tecnologia legada; pode não funcionar em Windows muito recentes. Validar driver da porta.
Permite rodar os depuradores de kernel da Microsoft (kd/WinDbg) contra uma cópia "ao vivo" da memória do sistema EM EXECUÇÃO, sem precisar de uma segunda máquina ou modo de depuração. Também gera dumps de memória completa do sistema vivo.
"Debugging Tools for Windows" (kd.exe/windbg) instalados; symbols (0.5); admin.
livekd [-w (WinDbg)] [-m (gerar dump)] [-o arquivo.dmp] [-k caminho_kd] [-vsym]
Forense/avançado (inspecionar drivers, pools, processos no nível de kernel); troubleshooting de leak de pool; análise sem reboot. Depende dos comandos do depurador (!analyze, !poolused, !vm). Causas típicas: driver com leak/bug; correção: atualizar/remover driver.
É snapshot inconsistente (sistema continua rodando); não substitui debug real de 2 máquinas. Symbols corretos; comandos kd dominados.
Navegador/editor avançado do Active Directory: explora objetos, atributos, esquema; permite editar atributos, salvar snapshots do diretório e COMPARAR snapshots (ótimo para auditar mudanças no AD).
Conectividade a um Domain Controller; credenciais com permissão de leitura (e escrita para editar). Interface: diálogo de conexão (servidor/credenciais); árvore do AD (esquerda); atributos do objeto (direita); menus File (Connect, Create Snapshot, Compare), Edit, Search (consultas LDAP), Favorites, navegação de esquema.
Suporte (corrigir atributo de usuário/computador); forense (comparar snapshot pré/pós-incidente para achar contas/permissões alteradas); auditoria. Diferenças em membros de grupos privilegiados, novos objetos, atributos alterados = possíveis indícios. Reverter alterações indevidas (com cautela e backup). Combine com ADInsight (ver ADInsight + ADExplorer).
Edições diretas no AD são arriscadas; sem desfazer automático. Snapshot antes de mudar; editar com conhecimento do esquema. Erro comum: editar atributo crítico sem backup.
Monitora, em tempo real, as chamadas LDAP que aplicações fazem ao Active Directory (via wldap32). Mostra requisições/respostas e tempos, ideal para depurar lentidão/falhas de autenticação e integração com AD.
Admin; roda no host que faz as chamadas LDAP. Interface: lista de chamadas (tempo, processo, operação LDAP, DN, resultado, duração); filtros por processo/operação; capturar/limpar/salvar. Fluxo: executar; capturar; reproduzir a operação do app; analisar binds/searches lentos ou com erro (ex.: LDAP_TIMEOUT, referrals).
Corporativo (app de linha de negócio lento contra AD); troubleshooting de autenticação; latência de DC. Queries sem índice/escopo amplo = lentidão; erros de bind = credencial/conectividade; referrals/timeouts = topologia/DC. Correção: ajustar a query do app, índices, ou conectividade ao DC mais próximo.
Só chamadas LDAP via wldap32 no host monitorado. Correlacionar com tempo de resposta do DC.
Detecta rootkits que escondem arquivos/chaves comparando a visão de alto nível da API do Windows com a leitura de baixo nível (raw) do disco/registro; discrepâncias indicam ocultação por rootkit.
Admin (ferramenta antiga; pode ter limitações em SOs recentes). Interface: botão "Scan"; lista de discrepâncias (Path, Timestamp, Size, Description); opções para varrer registro/arquivos e ocultar diferenças conhecidas.
Forense/IR em suspeita de rootkit; segunda opinião além do AV. "Hidden from Windows API" = artefato visível no raw mas oculto na API = forte sinal de rootkit. Correção: análise offline (boot em mídia limpa), remoção especializada, reinstalação se necessário.
Legada; rootkits modernos/UEFI/bootkit podem escapar; falsos positivos. Confirmar com varredura offline/EDR.
Captura e exibe a saída de depuração (OutputDebugString, modo usuário, e DbgPrint do kernel) local ou REMOTAMENTE, em tempo real. Útil para devs e para ver mensagens de drivers/serviços.
Admin (para captura de kernel). Interface: lista (número, hora, mensagem); menus Capture (Win32, Kernel, Verbose Kernel, Global Win32, Pass-Through), Edit (Filter/Highlight, Find), Computer (conectar a host remoto); filtros por texto e realce. Fluxo: Capture > Capture Win32 (+ Capture Kernel se necessário, elevado); reproduzir; aplicar Filter por palavra-chave; salvar log.
Dev (debug de app/driver); suporte (capturar mensagens de erro de componentes que usam OutputDebugString). Depende de o componente emitir saída de debug. Usar filtros; captura remota com o agente do DebugView.
PsTools é um conjunto de utilitários de LINHA DE COMANDO para administração local e REMOTA de sistemas Windows. Funcionam sem instalar agentes no host remoto: usam o compartilhamento administrativo (ADMIN$) e o Service Control Manager via RPC/SMB.
\\\\computador (ou \\\\IP), -u usuário -p senha para credenciais alternativas. Sem -p, a senha é solicitada de forma oculta (mais seguro que passar em texto claro, que fica visível em logs/linha de comando). Aceite a EULA com -accepteula.
PsExec em particular é frequentemente abusado por malware/atacantes (movimento lateral) e muitos ambientes o monitoram/bloqueiam. Use SEMPRE com a devida autorização, credenciais dedicadas, canais seguros e auditoria. Ver também PsExec + coletores.
Executar processos em máquinas remotas (ou localmente sob outra conta/contexto), com redirecionamento de E/S, como se estivesse no console remoto. Permite rodar programas interativos e não interativos, abrir shell remoto, e executar como SYSTEM localmente.
Admin no alvo; ADMIN$/IPC$ ativos; SMB(445)/RPC liberados; administrador local na máquina-alvo (ou de domínio).
\\\\computador alvo (use @arquivo.txt para lista de hosts)\n-u / -p usuário / senha (omitir -p solicita de forma oculta)\n-s executa como conta SYSTEM (LocalSystem)\n-i [sessão] interativo: interage com o desktop da sessão indicada\n-d não espera o processo terminar (don't wait)\n-c copia o executável para o alvo (-f força, -v se versão mais nova)\n-w define o diretório de trabalho no alvo\n-e não carrega o perfil da conta\n-x exibe UI na área de trabalho do Winlogon\n-h executa com token elevado (se a conta puder)\n-l executa com privilégios limitados (Low Integrity)\n-accepteula aceita a EULA silenciosamente; -nobanner suprime o banner
Colunas/menus/filtros: Não se aplica (ferramenta de console).
Código de saída retornado é o do processo remoto. "Access is denied" → credenciais/privilégios ou UAC remoto (workgroup). "The network path was not found"/"Couldn't access" → ADMIN$ desabilitado, firewall bloqueando 445, host inacessível. Correção: validar admin, liberar SMB/RPC, habilitar compartilhamentos administrativos, ajustar LocalAccountTokenFilterPolicy em workgroup.
Listar processos (e, com opções, threads e estatísticas de memória/CPU) local ou remotamente, em modo texto — um "tasklist" avançado tipo Process Explorer de linha de comando.
\\\\computador; -u/-p credenciais; -d threads detalhados; -m memória;\n-x processos+threads+memória; -t árvore de processos; -s [n] modo task-manager (a cada n s); nome|PID para filtrar
GUI/colunas/filtros visuais: Não se aplica.
Cenários: snapshot de processos em incidentes; comparar antes/depois; coleta forense scriptada. Colunas de CPU Time, Elapsed Time, memória (WS, Priv).
Texto estático (sem hierarquia visual rica).
Encerrar processos por nome ou PID, local ou remotamente.
\\\\computador -u/-p; -t encerra a árvore (processo e filhos); nome|PID
Fluxo: pslist para achar o PID → pskill PID (ou pskill nome) → confirmar. Remoto: pskill \\\\SRV -u admin nome. Árvore: pskill -t PID.
Derrubar processo de malware identificado; encerrar app congelado em servidor. Não para serviços protegidos/PPL; matar à força pode causar perda de dados. Preferir encerramento normal antes; usar -t com cautela. Processos legítimos: ver Processos legítimos.
Visualizar e controlar serviços do Windows (status, config, dependências) local e remotamente.
query (status), config, depend (dependentes), security, find (procura na rede pelo nome),\nsetconfig, start, stop, restart, pause, cont | prefixo \\\\computador -u/-p para remoto
Fluxo: psservice query → psservice \\\\SRV start Spooler → psservice depend X.
Reiniciar Spooler/Update remotamente; auditar serviços por host; localizar onde um serviço está rodando (find). Estados RUNNING/STOPPED/PAUSED, tipo de início (ver Tipos de inicialização e serviços críticos em Serviços críticos). Precisa de privilégio e SMB/RPC.
Coletar informações do sistema (versão do SO, uptime, kernel, CPU, hotfixes instalados, discos) local ou remotamente.
-h lista hotfixes; -s lista software instalado; -d detalhes de disco;\n-c saída em CSV; \\\\computador ou \\\\* (todos do domínio) -u/-p
Fluxo: psinfo → psinfo -h -s -d (completo) → psinfo \\\\* -c > inventario.csv.
Verificar se um KB está instalado numa frota; auditoria de uptime. Lista de hotfixes ausentes orienta patching. Depende de acesso remoto.
Mostrar quem está logado em uma máquina (localmente e via recursos compartilhados) e em quais máquinas um usuário está logado.
\\\\computador (quem está no host); usuário (onde o usuário está logado);\n-l apenas logons locais; -x não mostra horário de logon
Fluxo: psloggedon \\\\SRV → psloggedon DOMINIO\\\\usuario.
Confirmar que ninguém está usando um servidor antes de manutenção; investigar logon suspeito. Depende do registro/NetSessionEnum; firewall pode bloquear. Correlacione com LogonSessions.
Listar arquivos abertos REMOTAMENTE por outros (via compartilhamentos) e fechar essas aberturas.
\\\\computador -u/-p; [Id|caminho] filtra; -c fecha o arquivo/Id aberto
Fluxo: psfile \\\\SRVARQ (lista) → identificar Id → psfile \\\\SRVARQ Id -c (fecha).
Usuário saiu deixando planilha travada no share; liberar para edição. ATENÇÃO: fechar à força pode causar perda de alterações não salvas do usuário (avisar antes).
Testar conectividade e DESEMPENHO de rede: ping ICMP, ping TCP (em porta), teste de latência e de largura de banda (throughput) entre dois pontos.
psping host:porta (TCP connect)\npsping -t ICMP contínuo\n-n contagem; -l tamanho; -b banda; -q silencioso\nLatência/banda: o destino executa psping -s ip:porta (servidor) e o cliente conecta
Confirmar abertura de porta de aplicação quando ping ICMP é bloqueado; medir latência real até o SQL/SMB; comprovar gargalo de banda entre sites. Alta latência/jitter aponta congestionamento/roteamento ruim; falha de TCP connect com ICMP ok indica firewall/serviço parado na porta. Ver portas em Portas conhecidas.
Teste de banda requer cooperação do outro lado; consome rede.
Forense (PsGetSid para correlacionar SIDs; PsLogList para coletar eventos em lote — ver catálogo em Event IDs); operação (PsShutdown para manutenção agendada; PsSuspend para congelar processo suspeito preservando estado antes de dump com ProcDump); segurança (PsPasswd — usar com extrema cautela).
Evitar senhas em texto claro na linha de comando (PsPasswd); avisar usuários antes de PsShutdown remoto; documentar e auditar.
Exibe o mapeamento entre processadores lógicos e físicos, nós NUMA, caches, sockets e recursos/instruções da CPU (ex.: virtualização VT-x/AMD-V, AES, AVX). USAR: confirmar suporte a virtualização por hardware; topologia NUMA/cache antes de tuning; auditar recursos de CPU. Parâmetros: -c cores, -f features, -n NUMA, -s sockets, -m latência entre nós, -v hipervisor/virtualização (requer admin). GUI: Não se aplica. Cenário: validar por que Hyper-V/WSL2 não habilita (VT-x desligado na BIOS — ver virtualização). Validação-v executado elevadoRecurso desejado presente
Desfragmenta arquivos individuais (ou cria arquivos contíguos), em vez do volume inteiro. USAR: tornar contíguo um arquivo grande (VHD, banco, pagefile) em volumes HDD; analisar fragmentação de um arquivo (-a). NÃO USAR: em SSD (não traz benefício e gera desgaste). Parâmetros: -a análise; -s recursivo; -v verboso; nome/curinga; -n cria arquivo contíguo de tamanho dado. ValidaçãoAlvo HDD-a antes/depois
Mapa GRÁFICO do disco mostrando a ocupação por clusters; clicar em um bloco revela o arquivo correspondente. USAR: visualizar fragmentação/uso físico; localizar onde um arquivo reside. Interface GUI: grade de blocos com zoom; selecionar bloco → mostra arquivo; botão Refresh; legenda de cores. Volumes NTFS. ValidaçãoVolume certoRefresh após mudanças
Reporta o uso de espaço em disco por diretório recursivamente. Parâmetros: -l n profundidade de níveis; -n sem subtotais; -v verboso; -q quiet; -c saída CSV; caminho. Cenário: achar quais pastas consomem o disco em um servidor (correlaciona com alto uso de disco). ValidaçãoCaminho raizNível -l adequado
Converte números entre hexadecimal e decimal na linha de comando. Uso: hex2dec 0x1F (hex→dec); hex2dec 31 (dec→hex). Útil para traduzir códigos de erro/endereços (ex.: códigos do Windows Update). GUI/colunas/filtros: Não se aplica. ValidaçãoPrefixo 0x quando hex
Configura logon automático do Windows armazenando a credencial de forma ofuscada (LSA secret) em vez de texto claro no Registro. USAR: quiosques, estações dedicadas, ambientes de teste. NÃO USAR: máquinas com dados sensíveis (qualquer um com acesso físico fica logado). GUI: campos Username, Domain, Password; botões Enable/Disable. Limitação/segurança: reduz segurança — use com conta de baixo privilégio. ValidaçãoRisco aceitoConta de baixo privilégio
Mostra a resolução do timer do sistema (atual, máxima e mínima). Útil ao investigar consumo de energia/precisão de timers (apps que elevam a resolução do timer aumentam consumo). Uso: clockres (sem parâmetros). ValidaçãoCorrelacionar com powercfg /energy se investigar bateria
Driver de modo kernel que remapeia Caps Lock para Control no nível mais baixo. USAR: preferência de teclado persistente e profunda. Permissões: admin (instala driver). Uso: ctrl2cap /install ; /uninstall. Limitação: driver legado; em SOs modernos avaliar alternativas (PowerToys). ValidaçãoInstalado elevadoReinício
Provoca DELIBERADAMENTE crashes/BSOD, travamentos e vazamentos via um driver, para TESTAR captura de dump, ferramentas de análise e procedimentos de resposta. USAR: validar que o sistema gera dumps corretamente; treinar análise de crash com WinDbg; testar detecção de leaks com RAMMap/Poolmon. NÃO USAR: em PRODUÇÃO (causa indisponibilidade real). Permissões: admin (carrega driver). GUI: escolher tipo de falha (High IRQL, buffer overflow, code overwrite, stack trash, hang, leak) e botão Crash/Hang/Leak. Versão console: notmyfaultc. Cenário forense/lab: confirmar pipeline de dump antes de um incidente real. ValidaçãoAMBIENTE DE LABDump configuradoDados salvos
Exibe e ajusta os limites do working set do cache do sistema de arquivos. USAR: experimentos/tuning controlado de cache. NÃO USAR: produção sem entender o impacto (ajuste não é persistente e pode afetar desempenho). GUI: campos de mínimo/máximo do working set; botão Set. ValidaçãoValores anotadosEfeito medido
Lista os named pipes ativos no sistema e o número de instâncias/máximo. USAR: forense/segurança (pipes são usados por malware/movimento lateral e por IPC legítimo); diagnóstico de IPC. Uso: pipelist (lista). Cenário: identificar pipe suspeito; correlacionar com Sysmon Event ID 17/18 (pipe created/connected). ValidaçãoBaseline conhecidoPipes anômalos investigados
Lista as sessões de logon ativas (LUID, usuário, tipo de logon, pacote de autenticação) e, com -p, os processos de cada sessão. USAR: forense/IR — mapear sessões (interativo, rede, serviço, batch); detectar logons inesperados. Parâmetros: -p processos por sessão; -c CSV. Cenário: investigar sessão de rede/serviço desconhecida após comprometimento (correlaciona com PsLoggedOn). ValidaçãoElevadoSessões anômalas triadas
Mostra quais usuários têm acesso a arquivos criptografados com EFS (Encrypting File System) — quem possui as chaves/recuperação. USAR: auditar acesso EFS; diagnosticar por que um usuário não abre arquivo cifrado. Uso: efsdump arquivo. ValidaçãoArquivo EFS correto
Enumera os compartilhamentos de rede do domínio/segmento e suas permissões de compartilhamento e NTFS, revelando exposições. USAR: auditoria de segurança de shares; achar pastas abertas para "Todos". GUI: botão Refresh; lista de Share, Path, Domain, Local/Share Permissions; exportar. Cenário corporativo/segurança: localizar shares com permissões excessivas (correlaciona com compartilhamentos inacessíveis e AccessEnum). ValidaçãoEscopo de redeExposições corrigidas
Consulta dados de registro de domínio/IP (registrante, datas, servidores). USAR: investigar domínio/IP suspeito em IR/phishing. Uso: whois dominio.com [servidor]. Limitação: depende de disponibilidade do serviço WHOIS; alguns TLDs limitam dados (privacidade). ValidaçãoDomínio/IP corretoResultado correlacionado com a investigação
Apaga arquivos/espaço livre de forma segura (sobrescrita). Uso: sdelete -p N arquivo (N passes) | sdelete -z unidade (zera espaço livre). CUIDADO: irreversível. Útil para descarte seguro de dados sensíveis. ValidaçãoAlvo confirmadoPasses definidos
Descarrega (flush) os buffers de dados em disco para o armazenamento físico. Uso: sync [unidade]. Útil antes de remover mídia ou em scripts de manutenção. ValidaçãoUnidade certa
A suíte Sysinternals possui mais de 70 utilitários. Ferramentas complexas (Process Explorer, Process Monitor, Autoruns, Sysmon) recebem o tratamento completo; utilitários de função única (Junction, Hex2dec, PendMoves) não possuem menus/colunas/filtros e por isso recebem cobertura proporcional, com itens da estrutura marcados como "Não se aplica" quando cabível, sem inventar elementos inexistentes na interface.
Encontre o sintoma mais parecido com o seu e siga para o roteiro completo (sintoma → causas → ferramentas → passos → resultado esperado → correção). Em caso de dúvida entre dois, comece pela triagem de desempenho (recurso saturado) ou pela investigação de segurança (suspeita de malware).
Não há um \"botão mágico\", mas o método se aplica: verifique o serviço de impressão (Spooler) com PsService (ver serviços críticos); confira a fila travada em C:\\Windows\\System32\\spool\\PRINTERS; use o Process Monitor filtrando por spoolsv.exe para achar ACCESS DENIED/NAME NOT FOUND; e o TCPView para impressora de rede. Correção típica: reiniciar o Spooler e limpar a fila.
"}, {"code": "2.1", "title": "LENTIDÃO EXTREMA DO SISTEMA", "disp": "Lentidão extrema do sistema", "grav": "", "badges": [["cat", "Desempenho"]], "body": "Máquina lenta de forma generalizada, demora para abrir tudo.
Processo consumindo CPU/disco/memória; muitos itens de inicialização; disco saturado ou falhando; pouca RAM (paginação excessiva); malware.
Process Explorer, Process Monitor, Autoruns, RAMMap, VMMap.
Identificar 1–2 processos ou um item de boot como causa dominante.
Encerrar/atualizar/reconfigurar o processo culpado; remover itens de inicialização desnecessários (Autoruns); adicionar RAM ou substituir disco se for gargalo físico; remover malware se confirmado.
"}, {"code": "2.2", "title": "ALTO USO DE CPU", "disp": "Alto uso de CPU", "grav": "", "badges": [["cat", "Desempenho"]], "body": "CPU em 80–100% constante; ventoinha acelerada; lentidão.
Processo/thread em loop; driver em modo kernel (Interrupts/DPC); malware de mineração; antivírus em varredura; processo do sistema (svchost) com serviço problemático.
Process Explorer, Process Monitor, Sysmon.
Thread/serviço/driver específico identificado como consumidor.
Atualizar/reverter driver; atualizar ou reconfigurar o serviço/app; isolar e remover malware; pausar/agendar varredura de AV.
"}, {"code": "2.3", "title": "ALTO USO DE RAM / VAZAMENTO DE MEMÓRIA (MEMORY LEAK)", "disp": "Alto uso de RAM / vazamento de memória", "grav": "", "badges": [["cat", "Desempenho"]], "body": "Memória sobe continuamente sem liberar; sistema pagina; eventual "out of memory".
Processo com vazamento (Private Bytes sempre crescente); vazamento de pool do kernel (driver); excesso de handles/threads.
Process Explorer, VMMap, RAMMap, Handle, ProcDump.
Confirmar se o leak é de um processo (qual) ou do pool do kernel.
Atualizar/corrigir o app vazante; reiniciar o serviço como paliativo; atualizar/remover o driver responsável pelo pool; abrir chamado com o fornecedor anexando o dump.
"}, {"code": "2.4", "title": "ALTO USO DE DISCO", "disp": "Alto uso de disco", "grav": "", "badges": [["cat", "Desempenho"]], "body": "Disco em 100% no Gerenciador; travadas curtas; LED de disco constante.
Processo com I/O intenso; indexação/antivírus; pouca RAM forçando pagefile; disco/cabo falhando; SMART degradado.
Process Explorer, Process Monitor, DiskMon, RAMMap.
Processo e arquivos-alvo do I/O identificados (ou paginação/hardware).
Reconfigurar/atualizar o app; excluir pastas do antivírus quando seguro; adicionar RAM; substituir disco se SMART/erros indicarem falha.
"}, {"code": "2.5", "title": "ALTO USO DE GPU", "disp": "Alto uso de GPU", "grav": "", "badges": [["cat", "Desempenho"]], "body": "GPU sempre alta, calor/ruído, queda de FPS em outras tarefas.
App legítimo (jogo/render/IA); aceleração de hardware do navegador; malware de mineração; driver de vídeo.
Process Explorer (colunas de GPU), Autoruns, Sysmon.
Processo consumidor de GPU identificado e classificado (legítimo × suspeito).
Desativar a aceleração de hardware quando indesejada; atualizar driver; remover mineradores/malware.
"}, {"code": "2.6", "title": "TRAVAMENTOS / APLICATIVOS CONGELANDO (HANG)", "disp": "Travamentos / aplicativos congelando (hang)", "grav": "", "badges": [["cat", "Estabilidade"]], "body": "App para de responder ("Não Respondendo"); janela branca; precisa forçar fechamento.
Deadlock; espera por I/O/rede; chamada bloqueante; recurso travado (arquivo/handle); falta de memória.
Process Explorer, ProcDump, Process Monitor, Handle.
Causa do bloqueio (lock/IO/rede/recurso) identificada; dump para análise.
Liberar/encerrar o detentor do recurso; corrigir o app (fornecedor, via dump); ajustar rede/timeout; adicionar memória.
"}, {"code": "2.7", "title": "TELA AZUL (BSOD)", "disp": "Tela azul (BSOD)", "grav": "alta", "badges": [["cat", "Estabilidade"], ["grav", "Gravidade: Alta"]], "body": "Tela azul com código (ex.: DRIVER_IRQL_NOT_LESS_OR_EQUAL) e reinício.
Driver defeituoso; hardware/memória com falha; corrupção; conflito.
LiveKd, ProcDump (modo usuário não serve para kernel), NotMyFault (lab) e WinDbg (análise do dump). O Sysinternals apoia a coleta/contexto; a análise do minidump/dump completo é feita no WinDbg.
Bugcheck e módulo/driver responsável identificados.
Atualizar/reverter/remover o driver; testar memória (Windows Memory Diagnostic); aplicar correções do fornecedor; verificar superaquecimento/hardware.
"}, {"code": "2.8", "title": "INICIALIZAÇÃO (BOOT) LENTA", "disp": "Inicialização (boot) lenta", "grav": "", "badges": [["cat", "Boot/Inicialização"]], "body": "Demora longa entre ligar e ter o desktop usável.
Excesso de programas de inicialização; serviços/drivers atrasando; tarefas agendadas no logon; perfil pesado; I/O de disco no boot.
Autoruns, Process Monitor — Boot Logging, Process Explorer.
Itens e serviços que atrasam o boot identificados.
Desabilitar/atrasar itens de inicialização; corrigir serviço/driver lento; mover I/O pesado para depois do logon.
"}, {"code": "2.9", "title": "DESLIGAMENTO (SHUTDOWN) LENTO", "disp": "Desligamento (shutdown) lento", "grav": "", "badges": [["cat", "Boot/Inicialização"]], "body": ""Encerrando..." por muito tempo.
Serviço/app demorando para finalizar; script de shutdown via GPO; driver; espera por flush de dados.
Autoruns (scripts), Process Explorer, Process Monitor (boot/shutdown logging quando aplicável).
Serviço/script causador identificado.
Corrigir/remover script; ajustar timeout; atualizar serviço/driver.
"}, {"code": "2.10", "title": "SERVIÇOS FALHANDO", "disp": "Serviços falhando", "grav": "", "badges": [["cat", "Serviços"]], "body": "Serviço não inicia, cai, ou fica em "Starting".
Dependência ausente; conta/permissão; DLL/arquivo faltando; conflito; configuração.
PsService, Process Explorer (aba Services do svchost), Process Monitor, Autoruns (aba Services), ListDLLs.
Causa (dependência/permissão/arquivo) localizada via Procmon.
Instalar dependência, corrigir permissão/conta, restaurar arquivo/DLL, ajustar a configuração do serviço (ver tipos de início em 3.8).
"}, {"code": "2.11", "title": "DRIVERS PROBLEMÁTICOS", "disp": "Drivers problemáticos", "grav": "", "badges": [["cat", "Drivers"]], "body": "Instabilidade, BSOD, dispositivo não funciona, alto DPC/Interrupt.
Driver desatualizado/corrompido/incompatível/não assinado.
Autoruns (aba Drivers), Sigcheck, Process Explorer (Interrupts/DPC, DLLs de kernel via lower pane).
Driver suspeito identificado.
Atualizar/reverter/remover; usar apenas drivers assinados do fornecedor (ver tipos de DLL em 3.13).
"}, {"code": "2.12", "title": "MALWARE / PROCESSO SUSPEITO", "disp": "Malware / processo suspeito", "grav": "alta", "badges": [["cat", "Segurança/IR"], ["grav", "Gravidade: Alta"], ["flag", "RISCO"]], "body": "Processo desconhecido, alto consumo, conexões estranhas, alertas de AV.
Infecção, PUP, persistência maliciosa, injeção em processo legítimo.
Process Explorer, Autoruns, Sigcheck, TCPView, Sysmon, Strings, Handle, ListDLLs.
Processo malicioso, sua origem, persistência e rede mapeados.
Isolar a máquina da rede; encerrar (PsKill) e remover a persistência (Autoruns); coletar evidências (dump/Strings/hashes); acionar AV/EDR; reimaging se necessário. NUNCA confiar só no nome do processo — validar assinatura/hash/caminho.
"}, {"code": "2.13", "title": "ROOTKITS", "disp": "Rootkits", "grav": "crit", "badges": [["cat", "Segurança/IR"], ["grav", "Gravidade: Crítica"], ["flag", "RISCO"]], "body": "Artefatos que somem (arquivos/chaves/processos invisíveis), discrepâncias entre ferramentas, comportamento oculto.
Rootkit de usuário/kernel ocultando objetos.
RootkitRevealer (legada), Sysmon, Process Explorer, varredura offline/EDR.
Discrepância "hidden from Windows API" confirma ocultação.
Remoção especializada/offline; reinstalação do SO se o kernel estiver comprometido.
"}, {"code": "2.14", "title": "CONFLITOS DE SOFTWARE", "disp": "Conflitos de software", "grav": "", "badges": [["cat", "Estabilidade"]], "body": "App falha/instabiliza após instalar outro; DLL errada; "funciona aqui e não ali".
DLL Hell (versão/local errado de DLL); hooks de terceiros injetados; antivírus/EDR interferindo; ordem de carregamento.
ListDLLs, Process Monitor, Process Explorer, Sigcheck.
DLL/hook conflitante e sua origem identificados.
Corrigir o caminho/versão da DLL (SxS/manifesto); atualizar/remover o software injetor; exclusões no AV quando seguro; reinstalar o app afetado.
"}, {"code": "2.15", "title": "PROBLEMAS DE REDE / LATÊNCIA / CONEXÕES", "disp": "Problemas de rede / latência / conexões", "grav": "", "badges": [["cat", "Rede"]], "body": "Lentidão de rede, conexões inesperadas, app sem comunicar, suspeita de exfiltração.
App abrindo muitas conexões; processo desconhecido em rede; latência/perda; porta bloqueada; DNS.
TCPView, PsPing, Process Explorer, ADInsight (em problemas de AD/LDAP).
Processo ↔ conexão ↔ porta mapeados; latência/perda medidas.
Bloquear/fechar conexões maliciosas; corrigir firewall/porta; otimizar o app; tratar DNS; em AD usar o ADInsight.
"}, {"code": "2.16", "title": "COMPARTILHAMENTOS DE REDE INACESSÍVEIS", "disp": "Compartilhamentos de rede inacessíveis", "grav": "", "badges": [["cat", "Rede/Permissões"]], "body": ""Acesso negado" ou caminho de rede inacessível em \\\\servidor\\share; arquivos abertos travando o share.
Permissão de share/NTFS incorreta; SMB/firewall; sessão/handle preso; nome/DNS.
ShareEnum, PsFile, AccessEnum, AccessChk, TCPView.
Causa (permissão × handle preso × rede) identificada.
Ajustar permissões de share/NTFS; fechar handle/sessão presa (PsFile); liberar SMB/firewall; corrigir DNS/nome.
"}, {"code": "2.17", "title": "PERMISSÕES INCORRETAS (NTFS / REGISTRO)", "disp": "Permissões incorretas (NTFS / registro)", "grav": "", "badges": [["cat", "Permissões"]], "body": ""Acesso negado" a arquivo/pasta/chave; app falha por permissão; exposição excessiva.
ACL incorreta (restritiva ou permissiva demais); herança quebrada; conta/grupo errado.
AccessChk, AccessEnum, Process Monitor.
ACL exata e conta/grupo problemáticos identificados.
Corrigir ACL (NTFS 3.9 / registro 3.10); restaurar herança; aplicar princípio do menor privilégio.
"}, {"code": "2.18", "title": "PROBLEMAS DE VIRTUALIZAÇÃO", "disp": "Problemas de virtualização", "grav": "", "badges": [["cat", "Virtualização"]], "body": "VM não inicia/lenta; Hyper-V/virtualização indisponível; suspeita de aninhamento; necessidade de converter físico→virtual.
Recursos de virtualização (VT-x/AMD-V, SLAT) desabilitados; conflito de hypervisor; gargalo do host; necessidade de P2V.
Coreinfo (recursos de CPU), Disk2vhd (P2V), LiveKd (kernel em VM).
Capacidades de virtualização confirmadas; causa do problema (firmware/host/conflito) identificada.
Habilitar VT-x/AMD-V e SLAT no firmware; resolver conflito de hypervisor; redimensionar recursos do host; concluir P2V com Disk2vhd.
"}, {"code": "2.19", "title": "ARQUIVOS BLOQUEADOS / NÃO PODE EXCLUIR/RENOMEAR", "disp": "Arquivos bloqueados / não pode excluir ou renomear", "grav": "", "badges": [["cat", "Arquivos"]], "body": ""O arquivo está em uso por outro programa"; não dá para excluir/renomear/mover.
Handle aberto por um processo; arquivo de sistema; ADS; pendência de remoção até o reboot.
Handle, Process Explorer (Find Handle), Streams, PendMoves / MoveFile.
Processo detentor do handle identificado (ou pendência agendada).
Encerrar/atualizar o processo dono; fechar handle; agendar exclusão/movimento no boot (MoveFile); remover ADS indesejado (Streams -d).
"}, {"code": "2.20", "title": "DLLs AUSENTES / ERRO AO CARREGAR DLL", "disp": "DLLs ausentes / erro ao carregar DLL", "grav": "", "badges": [["cat", "Arquivos"]], "body": ""DLL não encontrada"; app não abre; erro de ponto de entrada/versão.
DLL ausente/no caminho errado; versão incompatível; dependência não instalada (runtime).
Process Monitor, ListDLLs, Sigcheck.
DLL faltante e caminho de busca identificados.
Instalar a DLL/runtime correto (ex.: Visual C++ Redistributable); colocar a DLL no diretório/SxS certo; reinstalar o app (tipos de DLL em 3.13).
"}, {"code": "2.21", "title": "FALHAS DE AUTENTICAÇÃO / ACTIVE DIRECTORY", "disp": "Falhas de autenticação / Active Directory", "grav": "", "badges": [["cat", "AD/Autenticação"]], "body": "Logon lento/falho; GPO não aplica; erros LDAP/Kerberos; objeto do AD inconsistente.
Latência/erro LDAP; replicação; permissão de objeto; SID/conta; conectividade com DC.
ADInsight, ADExplorer, LogonSessions, PsGetSid (em 1.31.9), TCPView.
Erro LDAP/Kerberos, objeto ou conectividade problemática identificados.
Corrigir atributo/permissão no AD; resolver replicação/DNS; liberar portas ao DC; ajustar GPO (correlação em 4.7).
"}, {"code": "2.22", "title": "PROBLEMAS DE PERFIL DE USUÁRIO", "disp": "Problemas de perfil de usuário", "grav": "", "badges": [["cat", "Sistema/Conta"]], "body": "Perfil temporário; logon lento; configurações/dados "sumidos"; erro ao carregar perfil.
Hive de perfil corrompido/bloqueado; permissão; entrada .bak no ProfileList; pasta de perfil presa.
Process Monitor, Handle, LogonSessions.
Arquivo/permissão/handle responsável pela falha de perfil identificado.
Corrigir permissões da pasta/hive; liberar handle preso; ajustar ProfileList; recriar perfil e migrar dados quando necessário.
"}, {"code": "2.23", "title": "WINDOWS UPDATE FALHANDO", "disp": "Windows Update falhando", "grav": "", "badges": [["cat", "Atualização"]], "body": "Update preso/erro; serviços de update caindo; arquivos/permissões de update bloqueados.
Serviço (wuauserv/BITS) com problema; arquivo/chave sem permissão; cache corrompido; conectividade.
PsService, Process Monitor, Process Explorer, TCPView.
Serviço/arquivo/permissão causador identificado.
Corrigir/reiniciar serviços; limpar cache (SoftwareDistribution) com cautela; ajustar permissões; tratar conectividade/proxy.
"}, {"code": "2.24", "title": "CORRUPÇÃO DO SISTEMA / ARQUIVOS DO WINDOWS", "disp": "Corrupção do sistema / arquivos do Windows", "grav": "", "badges": [["cat", "Sistema"]], "body": "Erros aleatórios, recursos quebrados, falhas que sugerem arquivos do SO alterados/corrompidos.
Arquivos de sistema corrompidos/substituídos; binário não original; modificação maliciosa.
Sigcheck, Strings, Process Monitor, Streams.
Arquivos do SO não originais/corrompidos identificados.
Reparar com SFC/DISM; restaurar binários do fornecedor; remover modificação maliciosa; reimaging se a integridade do núcleo estiver comprometida.
"}, {"code": "2.25", "title": "SERVIDORES × NOTEBOOKS × DESKTOPS (ÊNFASES POR AMBIENTE)", "disp": "Servidores × notebooks × desktops (ênfases por ambiente)", "grav": "", "badges": [["cat", "Ambiente"]], "body": "O mesmo sintoma pede ênfases diferentes conforme o tipo de máquina.
Cada ambiente tem gargalos e prioridades próprios.
Process Explorer, Process Monitor, TCPView, PsTools, Autoruns, Sysmon.
Triagem ajustada ao tipo de máquina, com as ferramentas certas em primeiro plano.
Aplicar o roteiro de preparação do ambiente (ver 5.1 e seguintes); em servidores, preferir CLI/remoto e telemetria; em notebooks, energia/drivers; em desktops, GPO/persistência/suporte remoto.
"}], "disp": "Resolução de Problemas por Cenário"}, {"id": "3", "title": "TABELAS DE REFERÊNCIA", "desc": "Tabelas de consulta rápida usadas no diagnóstico: códigos, estados, eventos, processos e permissões. Preserve a leitura em largura total (monoespaçado).", "sub": "Códigos, estados, eventos e baselines para consulta rápida.", "entries": [{"code": "3.1", "title": "CÓDIGOS DE RESULTADO DO PROCESS MONITOR", "disp": "Códigos de resultado do Process Monitor", "grav": "", "badges": [["cat", "Tabela"]], "body": "SUCCESS .................. operação concluída com êxito.\nNAME NOT FOUND ........... arquivo/chave não existe no caminho tentado. MUITO comum\n e normal na BUSCA de DLLs/configs (a app tenta vários\n caminhos). Vira problema quando o item esperado some.\nPATH NOT FOUND ........... o diretório/caminho intermediário não existe.\nACCESS DENIED ............ permissão insuficiente (ACL/privilégio) — ver 3.9/3.10.\nSHARING VIOLATION ........ arquivo aberto por outro processo com bloqueio — ver 2.19.\nFILE LOCKED WITH ONLY READERS / WRITERS .. bloqueio de faixa do arquivo.\nBUFFER OVERFLOW .......... buffer pequeno; normalmente seguido de nova tentativa OK.\nBUFFER TOO SMALL ......... idem; chamada sondando o tamanho necessário.\nNO SUCH FILE ............. variante de arquivo inexistente.\nREPARSE .................. ponto de reparo/junction/symlink redirecionando — ver 1.17.\nFAST IO DISALLOWED ....... I/O rápido recusado; cai no caminho normal (benigno).\nEND OF FILE .............. leitura chegou ao fim do arquivo (benigno).\nIS DIRECTORY ............. esperava arquivo, era diretório.\nINVALID PARAMETER ........ parâmetro inválido na chamada.\nNOT REPARSE POINT ........ não é ponto de reparo.\nBAD NETWORK PATH / NETWORK NAME .. caminho de rede/share inacessível — ver 2.16.\nDICA: filtre por Result is ACCESS DENIED (ou NAME NOT FOUND) para isolar a falha;\nmuitos NAME NOT FOUND são parte normal da ordem de busca, não erro real."}, {"code": "3.2", "title": "ESTADOS DE CONEXÃO TCP (TCPVIEW)", "disp": "Estados de conexão TCP (TCPView)", "grav": "", "badges": [["cat", "Tabela"]], "body": "
LISTENING ........ a porta está aberta aguardando conexões (servidor/serviço).\nSYN_SENT ......... cliente iniciou conexão e espera resposta (handshake em curso).\nSYN_RECEIVED ..... servidor recebeu SYN e respondeu; aguardando confirmação.\nESTABLISHED ...... conexão ativa e em uso (tráfego normal).\nFIN_WAIT_1 / FIN_WAIT_2 .. lado local iniciou o fechamento; aguardando o outro lado.\nCLOSE_WAIT ....... o outro lado fechou; app local ainda precisa fechar (muitos\n CLOSE_WAIT acumulados = app não fecha sockets — possível leak).\nCLOSING .......... ambos fechando simultaneamente.\nLAST_ACK ......... aguardando o último ACK antes de encerrar.\nTIME_WAIT ........ conexão encerrada; aguarda período de segurança antes de liberar\n (normal em servidores com muitas conexões curtas).\nCLOSED ........... conexão totalmente encerrada.\nDELETE_TCB ....... bloco de controle sendo removido.\nLEITURA: muitos SYN_SENT presos = destino/porta inacessível ou firewall. Muitos\nCLOSE_WAIT = bug do app (não fecha). Picos de TIME_WAIT em servidor = normal."}, {"code": "3.3", "title": "CÓDIGOS DE COR DO PROCESS EXPLORER", "disp": "Códigos de cor do Process Explorer", "grav": "", "badges": [["cat", "Tabela"]], "body": "
(Options > Configure Colors — cores padrão; podem ser personalizadas.)\nROSA/MAGENTA ............. Services (processos que hospedam serviços do Windows).\nAZUL ..................... processos na MESMA conta/sessão do Process Explorer\n (ou seja, os seus próprios processos).\nROXO/LILÁS ............... imagens "Packed" (compactadas/possivelmente ofuscadas) —\n ATENÇÃO: comum em malware (mas também em packers legítimos).\nCINZA .................... processos suspensos (Suspended).\nVERDE .................... processos recém-criados (destaque temporário).\nVERMELHO ................. processos recém-encerrados (destaque temporário).\nAMARELO-CLARO ............ .NET / managed processes (CLR).\nMARROM/BEGE .............. Jobs (processos em um Job object).\nCIANO/AZUL-CLARO ......... processos "immersive" (UWP/Store), conforme versão.\nDICA: use Options > Difference Highlight Duration para ajustar o tempo do realce\nverde/vermelho; roxo (packed) merece verificação de assinatura/VirusTotal — ver 2.12."}, {"code": "3.4", "title": "SYSMON — EVENT IDs PRINCIPAIS", "disp": "Sysmon — Event IDs principais", "grav": "", "badges": [["cat", "Tabela"]], "body": "
1 ... Process Create ............ criação de processo (linha de comando, hashes,\n pai, usuário). Núcleo da caça a ameaças.\n2 ... File creation time changed .. timestomping (anti-forense).\n3 ... Network connection .......... conexão de rede (processo, origem/destino, porta).\n4 ... Sysmon service state ........ Sysmon iniciou/parou.\n5 ... Process terminated .......... término de processo.\n6 ... Driver loaded ............... carga de driver (assinatura) — ver 2.11.\n7 ... Image loaded ................ DLL/imagem carregada (assinatura) — injeção/DLL.\n8 ... CreateRemoteThread .......... thread criada em outro processo (injeção clássica).\n9 ... RawAccessRead ............... leitura bruta de disco (\\\\.\\ ) — exfiltração/evasão.\n10 ... ProcessAccess ............... abertura de handle a outro processo (ex.: a lsass).\n11 ... FileCreate .................. criação de arquivo.\n12/13/14 RegistryEvent ............. criar/excluir chave, definir valor, renomear.\n15 ... FileCreateStreamHash ........ criação de ADS (Alternate Data Stream) — ver 1.16.\n16 ... Sysmon config change ........ configuração do Sysmon alterada.\n17/18 Pipe created / connected ..... named pipes (C2/IPC) — ver PipeList em 1.32.\n19/20/21 WmiEvent .................. filtro/consumidor/binding WMI (persistência WMI).\n22 ... DNSQuery .................... consulta DNS por processo (domínios suspeitos).\n23 ... FileDelete (archived) ....... exclusão de arquivo (com arquivamento).\n24 ... ClipboardChange ............. alteração de área de transferência.\n25 ... ProcessTampering ............ process hollowing/herpaderping.\n26 ... FileDeleteDetected .......... exclusão detectada (sem arquivar).\n27 ... FileBlockExecutable ......... BLOQUEIA e apaga executável gravado conforme regra\n (1ª ação preventiva; Sysmon 14+).\n28 ... FileBlockShredding .......... impede a destruição segura (shredding) de arquivos.\n29 ... FileExecutableDetected ...... detecta a criação de novo executável/PE em disco\n (Sysmon 15+; o Sysmon 15+ roda como PPL).\n255 .. Error ....................... erro interno do Sysmon.\nUSO: correlacione 1→3→7→8→22 para reconstruir a cadeia de ataque — ver 2.12 / 4.6."}, {"code": "3.5", "title": "PROCESSOS LEGÍTIMOS DO WINDOWS (BASELINE)", "disp": "Processos legítimos do Windows (baseline)", "grav": "", "badges": [["cat", "Tabela"]], "body": "
(Caminho legítimo = C:\\Windows\\System32 — exceções anotadas. Nome trocado ou\ncaminho diferente = SUSPEITO; ver 2.12.)\nSystem ............... pseudo-processo do kernel (PID 4). Sem caminho de imagem.\nRegistry ............. gerencia hives do registro (Win10+).\nsmss.exe ............. Session Manager. 1 instância de sessão 0; efêmeras por sessão.\ncsrss.exe ............ Client/Server Runtime. 1 por sessão (sessão 0 e usuário).\nwininit.exe .......... inicialização da sessão 0. Único.\nwinlogon.exe ......... logon/tela segura. 1 por sessão interativa.\nservices.exe ......... Service Control Manager. Único. Pai de vários svchost.\nlsass.exe ............ segurança/credenciais. ÚNICO. Mais de um = ALERTA.\nsvchost.exe .......... host de serviços. MUITAS instâncias (normal). Sempre filho de\n services.exe; -k grupo. Fora de System32 = suspeito.\nexplorer.exe ......... shell do usuário (C:\\Windows\\explorer.exe — NÃO System32).\ndwm.exe .............. Desktop Window Manager (composição).\ntaskhostw.exe ........ host de tarefas.\nRuntimeBroker.exe .... mediador de permissões de apps UWP.\nctfmon.exe ........... entrada de texto/idiomas.\nSearchIndexer.exe .... indexação de busca.\nMsMpEng.exe .......... Microsoft Defender (motor antimalware).\nfontdrvhost.exe ...... host do driver de fontes.\nconhost.exe .......... host de console (acompanha apps de console).\nspoolsv.exe .......... spooler de impressão.\nSINAIS DE FRAUDE: grafia errada (scvhost/svhost/lsasss), caminho em %TEMP%/%APPDATA%,\nsem assinatura, pai inesperado (ex.: explorer gerando svchost). Ver 2.12."}, {"code": "3.6", "title": "SERVIÇOS CRÍTICOS DO WINDOWS", "disp": "Serviços críticos do Windows", "grav": "", "badges": [["cat", "Tabela"]], "body": "
(Nome curto — função. Use PsService/sc para consultar — ver 1.31.4 / 3.8.)\nRpcSs ............. Remote Procedure Call. Base de quase tudo. NÃO desabilitar.\nDcomLaunch ........ DCOM Server Process Launcher. Crítico.\nLSM ............... Local Session Manager.\nPower ............. gerenciamento de energia.\nPlugPlay .......... Plug and Play.\nSchedule .......... Agendador de Tarefas.\nDnscache .......... cliente DNS (cache de resolução).\nDhcp .............. cliente DHCP (obtenção de IP).\nLanmanServer ...... compartilhamento de arquivos/impressoras (SMB server).\nLanmanWorkstation . cliente de rede (acesso a shares).\nEventLog .......... log de eventos. Crítico para diagnóstico.\nwuauserv .......... Windows Update.\nBITS .............. transferência inteligente em segundo plano (updates).\nCryptSvc .......... serviços criptográficos (assinaturas/certificados).\nWinDefend ......... Microsoft Defender Antivirus.\nmpssvc ............ Windows Defender Firewall.\nWinmgmt ........... WMI (instrumentação).\nProfSvc ........... serviço de perfis de usuário — ver 2.22.\ngpsvc ............. cliente de Política de Grupo (GPO) — ver 2.21.\nNetlogon .......... canal seguro com o DC (domínio).\nW32Time ........... sincronização de tempo (crítico p/ Kerberos).\nSpooler ........... fila de impressão.\nAudiosrv .......... áudio do Windows.\nDICA: desabilitar serviços críticos quebra o SO. Em dúvida, deixe Automático/Manual\nconforme o padrão e investigue dependências antes de mexer."}, {"code": "3.7", "title": "PORTAS DE REDE CONHECIDAS", "disp": "Portas de rede conhecidas", "grav": "", "badges": [["cat", "Tabela"]], "body": "
20/21 TCP .... FTP (dados/controle).\n22 TCP ...... SSH / SFTP.\n23 TCP ...... Telnet (inseguro).\n25 TCP ...... SMTP (e-mail envio).\n53 TCP/UDP .. DNS (resolução de nomes).\n67/68 UDP .... DHCP (servidor/cliente).\n80 TCP ...... HTTP.\n88 TCP/UDP .. Kerberos (autenticação AD) — ver 2.21.\n110 TCP ...... POP3.\n123 UDP ...... NTP (tempo).\n135 TCP ...... RPC Endpoint Mapper (DCOM/WMI).\n137-139 ...... NetBIOS (nome/datagrama/sessão — legado).\n143 TCP ...... IMAP.\n161/162 UDP .. SNMP.\n389 TCP/UDP .. LDAP (Active Directory) — ver 2.21.\n443 TCP ...... HTTPS / TLS.\n445 TCP ...... SMB (compartilhamentos, PsExec/ADMIN$) — ver 1.31 / 2.16.\n464 TCP/UDP .. Kerberos password change.\n636 TCP ...... LDAPS (LDAP sobre TLS).\n3268/3269 .... Global Catalog (AD) / GC sobre SSL.\n3389 TCP ..... RDP (Área de Trabalho Remota).\n5985/5986 .... WinRM (HTTP/HTTPS) — PowerShell remoto.\n49152-65535 .. portas dinâmicas/efêmeras (RPC dinâmico).\nUSO: correlacione a porta vista no TCPView (ver 3.2) com o serviço; portas altas\nde saída para destinos desconhecidos podem indicar C2 — ver 2.12 / 2.15."}, {"code": "3.8", "title": "TIPOS DE INICIALIZAÇÃO DE SERVIÇO", "disp": "Tipos de inicialização de serviço", "grav": "", "badges": [["cat", "Tabela"]], "body": "
Boot (0) ......... carregado pelo loader do kernel (drivers de boot essenciais).\nSystem (1) ....... carregado na inicialização do kernel (drivers de sistema).\nAutomatic (2) .... inicia no boot do Windows (serviços que precisam estar prontos).\nAutomatic (Delayed Start) .. inicia logo após o boot, com atraso, para aliviar a\n inicialização (reduz boot lento — ver 2.8).\nManual (3) ....... inicia sob demanda (quando algo o requisita).\nManual (Trigger Start) .. inicia por gatilho (evento/dispositivo/IP) — eficiente.\nDisabled (4) ..... não pode iniciar (nem sob demanda) até ser reabilitado.\nCONSULTA: sc qc <serviço> ou psservice config; psservice depend mostra dependências.\nCUIDADO: mudar tipo de início de serviços críticos (ver 3.6) pode quebrar o SO.\nEm troubleshooting de boot, prefira Delayed/Trigger a desabilitar cegamente."}, {"code": "3.9", "title": "PERMISSÕES NTFS", "disp": "Permissões NTFS", "grav": "", "badges": [["cat", "Tabela"]], "body": "
PERMISSÕES BÁSICAS (resumidas):\nFull Control ......... tudo, inclusive alterar permissões e dono.\nModify ............... ler, escrever, modificar, excluir o item.\nRead & Execute ....... ler e executar (e listar pastas).\nList Folder Contents . listar conteúdo de pastas (só pastas).\nRead ................. ler conteúdo/atributos/permissões.\nWrite ................ criar/escrever conteúdo e atributos.\nPERMISSÕES AVANÇADAS (especiais) incluem, entre outras:\nTraverse Folder/Execute File; List Folder/Read Data; Read Attributes;\nRead Extended Attributes; Create Files/Write Data; Create Folders/Append Data;\nWrite Attributes; Write Extended Attributes; Delete Subfolders and Files; Delete;\nRead Permissions; Change Permissions; Take Ownership.\nCONCEITOS:\n- ACL = lista de ACEs (entradas) por usuário/grupo. Allow x Deny (Deny prevalece).\n- HERANÇA: subpastas herdam do pai (a menos que a herança seja quebrada).\n- PERMISSÃO EFETIVA = combinação de grupos/herança/Deny. Use o AccessChk (1.12) e o\n AccessEnum (1.13) para auditar a efetiva e achar exposições. Ver 2.17.\nDICA: aplique o menor privilégio; evite "Everyone: Full Control"."}, {"code": "3.10", "title": "PERMISSÕES DO REGISTRO", "disp": "Permissões do registro", "grav": "", "badges": [["cat", "Tabela"]], "body": "
PERMISSÕES DE CHAVE (principais):\nFull Control ......... controle total da chave e subchaves.\nRead ................. consultar valor, enumerar subchaves, notificar, ler controle.\nPERMISSÕES ESPECIAIS:\nQuery Value .......... ler valores.\nSet Value ............ escrever valores.\nCreate Subkey ........ criar subchaves.\nEnumerate Subkeys .... listar subchaves.\nNotify ............... receber notificações de alteração.\nCreate Link .......... criar link simbólico (raro).\nDelete ............... excluir a chave.\nWrite DAC ............ alterar permissões (DACL).\nWrite Owner .......... tornar-se dono.\nRead Control ......... ler o descritor de segurança.\nHIVES PRINCIPAIS: HKLM, HKCU, HKCR, HKU, HKCC.\nAUDITORIA: accesschk -k (chaves) mostra a permissão efetiva — ver 1.12 / 2.17.\nCUIDADO: alterar permissões de chaves de sistema (ex.: Services, Winlogon) pode\nquebrar o SO ou criar persistência maliciosa — ver 2.12 / 3.4 (RegistryEvent)."}, {"code": "3.11", "title": "TIPOS DE HANDLE (OBJETOS DO KERNEL)", "disp": "Tipos de handle (objetos do kernel)", "grav": "", "badges": [["cat", "Tabela"]], "body": "
(Vistos no Handle (1.06) e no Process Explorer lower pane em modo Handles.)\nFile ............. arquivo ou diretório aberto (mostra o caminho) — ver 2.19.\nKey .............. chave do registro aberta.\nProcess .......... handle para outro processo (acesso/controle).\nThread ........... handle para thread.\nEvent ............ objeto de evento (sincronização).\nMutant (Mutex) ... exclusão mútua; malware costuma criar mutex único (marcador).\nSemaphore ........ semáforo (sincronização com contagem).\nSection .......... seção de memória mapeada (memory-mapped file / shared memory).\nToken ............ token de acesso (identidade/privilégios) — roubo de token.\nDirectory ........ diretório de objetos do gerenciador de objetos (ver WinObj 1.23).\nSymbolicLink ..... link simbólico de objeto.\nDesktop / WindowStation .. objetos de UI/sessão — ver Desktops (1.20).\nALPC Port ........ porta de comunicação local (LPC).\nJob .............. agrupa processos para limites/contabilidade.\nTimer ............ temporizador.\nIoCompletion ..... porta de conclusão de I/O.\nTpWorkerFactory .. fábrica de threads do thread pool.\nUSO: para descobrir QUEM segura um arquivo/recurso, use Find Handle no Process\nExplorer ou handle <nome>. Mutex conhecido pode identificar uma família de malware."}, {"code": "3.12", "title": "ESTADOS DE THREAD", "disp": "Estados de thread", "grav": "", "badges": [["cat", "Tabela"]], "body": "
(Vistos na aba Threads do Process Explorer / análise de kernel.)\nRunning .......... executando em um processador agora.\nReady ............ pronta para executar, aguardando CPU.\nStandby .......... selecionada para rodar no próximo quantum (1 por CPU).\nWaiting .......... esperando um objeto/evento/I/O (mostra o Wait Reason).\nTransition ....... pronta, mas a stack do kernel está paginada (aguardando page-in).\nTerminated ....... finalizada.\nInitialized ...... recém-criada, ainda não pronta.\nDeferred Ready ... pronta, aguardando atribuição a um processador.\nGate Waiting ..... esperando em um gate.\nWAIT REASONS comuns: Executive, FreePage, PageIn, UserRequest, WrLpcReceive,\nWrLpcReply, WrQueue (thread pool), DelayExecution (Sleep), Suspended, WrUserRequest.\nLEITURA: muitos threads em Wait/UserRequest = ocioso (normal). Thread em Running\nconstante com alta CPU = ponto quente (veja a Stack) — ver 2.2."}, {"code": "3.13", "title": "TIPOS / CONCEITOS DE DLL", "disp": "Tipos / conceitos de DLL", "grav": "", "badges": [["cat", "Tabela"]], "body": "
DLL (Dynamic-Link Library): biblioteca de código/recursos carregada por processos.\nCARREGAMENTO:\n- Implícito (load-time): listada no import table; carregada na inicialização do EXE.\n- Explícito (run-time): via LoadLibrary/GetProcAddress (carregada sob demanda).\n- Delay-load: importada só quando a primeira função é usada.\nCATEGORIAS/LOCAIS:\n- DLLs do sistema (System32/SysWOW64): núcleo do Windows (ntdll, kernel32, user32...).\n- Known DLLs: lista protegida carregada de local fixo (anti-hijack).\n- Side-by-Side (SxS / WinSxS): versões isoladas via manifesto (evita DLL Hell) — 2.14.\n- DLLs da aplicação: no diretório do app ou no PATH.\nARQUITETURA: 32 bits (SysWOW64) × 64 bits (System32). Processo só carrega DLL da\nmesma arquitetura.\nORDEM DE BUSCA (resumo, com SafeDllSearchMode): diretório do app → System32 →\nSystem → Windows → diretório atual → PATH. DLL planting/hijack explora essa ordem.\nDIAGNÓSTICO: ListDLLs (1.07) mostra DLLs carregadas e versões; Process Monitor (1.02)\nmostra a busca (NAME NOT FOUND na ordem); Sigcheck (1.14) valida assinatura/versão.\nVer cenários 2.14 (conflito) e 2.20 (DLL ausente)."}, {"code": "3.14", "title": "MENSAGENS DE ERRO MAIS COMUNS", "disp": "Mensagens de erro mais comuns", "grav": "", "badges": [["cat", "Tabela"]], "body": "
Para cada mensagem de erro frequente: o que ela significa, as causas mais prováveis, como diagnosticar com as ferramentas deste guia, como corrigir e como validar. Os códigos de resultado do Process Monitor têm uma tabela própria em 3.1.
Significado: a conta atual não tem permissão para o arquivo, pasta, chave de registro, serviço ou processo, OU o programa não está elevado.
Causas comuns: permissões (ACL) incorretas; falta de elevação (UAC); nível de integridade; em acesso remoto, falta de direito administrativo no alvo.
Como diagnosticar: reproduza com o Process Monitor e filtre por Result = ACCESS DENIED para ver o objeto EXATO; confira as permissões efetivas com o AccessChk.
Como corrigir: execute como administrador (ver G.16) se for o caso; ajuste a ACL ao mínimo necessário (icacls) para a conta correta; restaure a herança se ela foi quebrada (ver 2.17).
Como validar: repita a ação que falhava; no Process Monitor, o mesmo objeto agora deve retornar SUCCESS.
Significado: outro processo mantém um handle aberto do arquivo, impedindo excluir/renomear/mover.
Causas comuns: o app que abriu o arquivo ainda está rodando; antivírus/indexador segurando; serviço que não libera log; em rede, sessão de outro usuário.
Como diagnosticar: Process Explorer > Find > \"Find Handle or DLL\" e digite o nome do arquivo; ou Handle \"nome\" na linha de comando; em compartilhamento, PsFile.
Como corrigir: feche o app dono; se for serviço, pare-o; em último caso feche o handle pelo Process Explorer (com cautela) ou agende a exclusão para o boot com MoveFile.
Como validar: tente excluir/renomear de novo; deve concluir sem erro (ver 2.19).
Significado: o arquivo ou chave de registro NÃO existe no caminho tentado.
Causas comuns: muitas vezes é NORMAL (faz parte da ordem de busca de DLLs/configs). Vira problema quando o item realmente esperado sumiu (após migração, desinstalação ou malware removido pela metade).
Como diagnosticar: no Process Monitor, observe se um NAME NOT FOUND ocorre logo ANTES da falha visível e se aponta um arquivo/chave que DEVERIA existir.
Como corrigir: recrie o arquivo/chave ausente; reinstale o runtime/app; restaure de backup. Ignore os NAME NOT FOUND benignos da ordem de busca.
Como validar: o evento agora retorna SUCCESS e o sintoma desaparece (ver 3.1).
Significado: o arquivo está aberto por outro processo com bloqueio que impede o tipo de acesso pedido.
Causas comuns: dois programas tentando o mesmo arquivo; antivírus em cima do arquivo; banco/local lock.
Como diagnosticar: descubra quem segura com Process Explorer \"Find Handle\" / Handle.
Como corrigir: feche/serialize o acesso; exclua a pasta do antivírus quando seguro; ajuste o app.
Como validar: a operação passa a retornar SUCCESS.
Significado: um driver (ou hardware/memória) executou uma operação inválida no kernel.
Causas comuns: driver desatualizado/incompatível; RAM com defeito; superaquecimento; overclock; corrupção.
Como diagnosticar: garanta que o sistema gera dump; abra C:\\Windows\\Minidump\\*.dmp no WinDbg com símbolos (0.5) e rode !analyze -v para achar o .sys culpado; valide drivers com Sigcheck.
Como corrigir: atualize/reverta/remova o driver indicado; teste a memória; verifique temperatura; remova overclock (ver 2.7).
Como validar: use a máquina no cenário que disparava a tela azul; não deve surgir novo Event 1001 (BugCheck — ver G.12).
Significado: o PsExec não conseguiu alcançar o compartilhamento administrativo do alvo.
Causas comuns: ADMIN$/IPC$ desabilitados; firewall bloqueando SMB (porta 445); host desligado/inacessível; nome/DNS errado.
Como diagnosticar: teste a porta com PsPing host:445; confirme que o host responde e o nome resolve.
Como corrigir: libere SMB(445)/RPC no firewall; habilite compartilhamentos administrativos; em workgroup, ajuste LocalAccountTokenFilterPolicy (ver 1.31.1).
Como validar: psexec \\\\host -accepteula ipconfig deve retornar a saída do host remoto.
Significado: credenciais ou privilégios insuficientes no host remoto, ou UAC remoto (workgroup).
Causas comuns: conta sem direito de administrador no alvo; senha errada; restrição de token remoto.
Como diagnosticar: confirme que a conta é administradora no alvo; teste com -u DOMINIO\\\\admin.
Como corrigir: use uma conta administrativa válida; ajuste LocalAccountTokenFilterPolicy em workgroup.
Como validar: o comando remoto executa e retorna o código de saída do processo.
Significado: fora do escopo do Sysinternals — é licenciamento/ativação do Windows.
Causas comuns: ativação expirada; alteração de hardware; serviço de licenciamento parado.
Como diagnosticar: verifique o serviço de licenciamento e o status de ativação pelos meios nativos do Windows.
Como corrigir: reative o Windows pelos canais oficiais; corrija o serviço.
Como validar: o aviso desaparece após ativação válida.
Muitos erros do Windows aparecem como números (ex.: 0x80070005 = \"Acesso negado\"). Use o Hex2dec para converter hexadecimal↔decimal ao pesquisar um código. O número 0x80070005 termina em 5 (ERROR_ACCESS_DENIED), reforçando que é permissão.
"}], "disp": "Tabelas de Referência"}, {"id": "4", "title": "CORRELAÇÃO ENTRE FERRAMENTAS", "desc": "Nenhuma ferramenta resolve sozinha. Estas combinações mostram como encadear as ferramentas da PARTE 1 para investigações completas.", "sub": "Como combinar ferramentas para investigações de ponta a ponta.", "entries": [{"code": "4.1", "title": "PROCESS EXPLORER + PROCESS MONITOR", "disp": "Process Explorer + Process Monitor", "grav": "", "badges": [["cat", "Correlação"]], "body": "O par mais usado: o Process Explorer responde "QUEM" (qual processo, quanta CPU/IO/RAM, assinatura, árvore); o Process Monitor responde "O QUÊ" (quais arquivos, chaves, rede o processo toca, com o resultado de cada operação).
Causa-raiz no nível de operação (arquivo/chave/rede) ligada ao processo responsável.
"}, {"code": "4.2", "title": "AUTORUNS + SIGCHECK + VIRUSTOTAL", "disp": "Autoruns + Sigcheck + VirusTotal", "grav": "", "badges": [["cat", "Correlação"]], "body": "Triagem de persistência e classificação de binários em caça a ameaças. O Autoruns enumera TODOS os pontos de auto-início; o Sigcheck valida assinatura/versão; o VirusTotal (integrado em ambos por hash) dá reputação.
Itens de persistência classificados (legítimo × suspeito) com base em assinatura + reputação, não no nome. Ver 2.12.
"}, {"code": "4.3", "title": "PROCDUMP + WINDBG", "disp": "ProcDump + WinDbg", "grav": "", "badges": [["cat", "Correlação"]], "body": "Captura e análise pós-morte de processos que travam, crasham ou vazam. O ProcDump gera o dump no momento certo; o WinDbg (depurador da Microsoft) analisa.
Causa do crash/hang/leak identificada (módulo, exceção, lock) a partir do dump. Para BSOD/kernel, o dump é o de memória do SO — ver 2.7.
"}, {"code": "4.4", "title": "RAMMAP + VMMAP", "disp": "RAMMap + VMMap", "grav": "", "badges": [["cat", "Correlação"]], "body": "Investigação de memória em dois níveis: o RAMMap mostra a memória FÍSICA de TODO o sistema (por tipo/uso); o VMMap mostra o espaço de endereçamento VIRTUAL de UM processo.
Distinção entre pressão de memória do sistema (física/pool) e vazamento de um processo (virtual), com a região exata do crescimento.
"}, {"code": "4.5", "title": "TCPVIEW + PROCESS EXPLORER", "disp": "TCPView + Process Explorer", "grav": "", "badges": [["cat", "Correlação"]], "body": "Ligar atividade de REDE a um processo e ao seu contexto. O TCPView lista conexões/portas por processo (ver estados em 3.2); o Process Explorer dá assinatura, árvore e DLLs desse processo.
Conexão de rede atribuída a um processo classificado e ao seu ponto de origem.
"}, {"code": "4.6", "title": "SYSMON + PROCESS MONITOR", "disp": "Sysmon + Process Monitor", "grav": "", "badges": [["cat", "Correlação"]], "body": "Telemetria histórica + detalhe ao vivo. O Sysmon grava CONTINUAMENTE no Event Log (cadeia de processos, rede, imagem, registro — ver 3.4); o Process Monitor dá o detalhe FINO de I/O quando você reproduz o problema.
Cadeia de ataque/comportamento reconstruída historicamente (Sysmon) e confirmada em detalhe (Procmon). Núcleo de DFIR — ver 2.12 e 5.3.
"}, {"code": "4.7", "title": "OUTRAS COMBINAÇÕES ÚTEIS", "disp": "Outras combinações úteis", "grav": "", "badges": [["cat", "Correlação"]], "body": "Diagnóstico de "Acesso negado": o Process Monitor localiza o objeto exato e o resultado ACCESS DENIED; o AccessChk mostra a permissão efetiva do usuário sobre esse arquivo/chave (ver 3.9/3.10). Ver 2.17.
Triagem de binário suspeito: o Sigcheck confere assinatura/versão e hash (VirusTotal); o Strings extrai URLs/comandos/IOCs embutidos. Complementa o ListDLLs (DLLs carregadas) — ver 2.24.
Problemas de AD: o ADInsight captura as chamadas LDAP do cliente (erros/lentidão); o ADExplorer inspeciona/edita o objeto e tira snapshots para comparação. Ver 2.21.
Coleta remota sem agente: o PsExec executa, no host remoto, coletores como handle, listdlls e autorunsc, canalizando a saída de volta. ATENÇÃO: o PsExec deixa rastros (serviço PSEXESVC) e é vetor de movimento lateral — registre tudo e use com autorização. Ver 1.31 e 5.3.
Arquivo travado: Handle acha quem segura; Streams revela ADS ocultos; MoveFile agenda exclusão/movimento no próximo boot. Ver 2.19.
Virtualização: Coreinfo confirma recursos da CPU (VT-x/SLAT); Disk2vhd converte físico→virtual (P2V). Ver 2.18.
"}], "disp": "Correlação entre Ferramentas"}, {"id": "5", "title": "ROTEIROS GUIADOS", "desc": "Roteiros visuais por fases para padronizar o trabalho com a suíte: preparação, triagem, resposta a incidentes, rede/AD e princípios gerais. Use com autorização e em ambiente controlado.", "sub": "Fluxos visuais por fases para preparar, triar e investigar com método.", "entries": [{"code": "5.1", "title": "PREPARAÇÃO DO AMBIENTE", "disp": "Preparação do ambiente", "grav": "", "badges": [["cat", "Preparação"]], "body": "Antes de diagnosticar com a suíte Sysinternals, prepare o ambiente para resultados confiáveis e legais.
Roteiro rápido para isolar o recurso saturado e o processo responsável.
Roteiro de DFIR (forense digital e resposta a incidentes) com a suíte.
Roteiro para problemas de rede, compartilhamentos e autenticação/AD.
Princípios para usar a suíte com segurança, eficácia e responsabilidade.
Sempre obter a suíte da fonte oficial e verificar assinatura (Sigcheck) antes de usar.
Usar com AUTORIZAÇÃO e em ambiente controlado; ferramentas como PsExec e SDelete têm impacto real (movimento lateral, exclusão irreversível).
Não confiar no NOME de um processo — validar caminho, assinatura e hash/VirusTotal (ver 3.5 e 2.12).
Manter uma BASELINE do normal para comparar (processos, serviços, portas, auto-início).
Mudar uma variável por vez e validar; documentar cada alteração para poder reverter.
Encerrar processos com cautela: nunca derrubar processos críticos (csrss, wininit, winlogon, services, lsass — ver 3.5).
Tratar a CAUSA (serviço/driver/app), não o processo hospedeiro (ex.: svchost).
Em servidores, preferir CLI/remoto e telemetria contínua (Sysmon); evitar GUIs pesadas no host (ver 2.25).
Lembrar que o Sysmon é telemetria (não bloqueia) e que ferramentas de coleta podem deixar rastros — alinhar com políticas.
Preservar evidências e cadeia de custódia em qualquer suspeita de incidente (ver 5.3).