Guia da Nebulock ensina threat hunting para detectar uso malicioso de IP-KVM

Um IP-KVM liga-se direto às interfaces USB e de vídeo da máquina e entrega o controle por rede. Para o sistema, a entrada do operador remoto é indistinguível da de alguém sentado diante do teclado. A sessão acontece na camada de hardware, fora do sistema operacional do host, e por isso o EDR tradicional enxerga pouco. O que sobra é o rastro físico: o dispositivo continua plugado e aparece na telemetria USB e de controle de dispositivos.

O guia da Nebulock propõe uma caça em etapas. Primeiro, buscar nomes de produto, fabricantes e combinações VID/PID conhecidas (PiKVM, NanoKVM e linhas corporativas como Raritan, Avocent e ATEN, que têm uso legítimo em datacenters). Depois, como essas strings podem ser alteradas, procurar dispositivos HID compostos raros que também exponham armazenamento, rede ou vídeo. A documentação do PiKVM mostra que ele emula teclado, mouse, armazenamento em massa e, opcionalmente, USB Ethernet. A fonte cita ainda o SANS (que demonstrou a abordagem em 2026) e investigações da Huntress em 2026, em que artefatos de PiKVM foram avaliados junto com timing de onboarding, VPN/proxy, padrões geográficos e horário de trabalho. Em um caso, a identidade do funcionário foi considerada questionável e a organização confirmou a suspeita depois que ele se recusou a mostrar o ambiente e a aparecer em vídeo.

O guia insiste que periférico escasso e onboarding recente são heurísticas de triagem, não assinatura norte-coreana nem atribuição. Muitos funcionários legítimos têm estações enxutas. O objetivo é decidir qual endpoint merece checagem de inventário, conversa com o gestor ou inspeção física.

A cobertura anterior do CEVIU toca o mesmo pano de fundo, sem tratar de IP-KVM. Em 27 de abril de 2026, o CEVIU noticiou "Por Dentro dos Computadores de Trabalhadores de TI da RPDC", sobre a análise da NoxHunt a partir de logs de infostealer de dispositivos desses trabalhadores. Agora o foco sai dos artefatos de software e vai para o hardware que viabiliza o controle remoto nas laptop farms.

Para quem opera segurança, a leitura é que a caça a trabalhadores de TI fraudulentos não pode parar na telemetria de software. Se o inventário de periféricos é fraco, vale primeiro validar o que o sensor realmente registra, e depois transformar os achados de alta confiança em detecções permanentes. A correlação com RH e identidade pesa tanto quanto o sinal USB.