Buscar un hash, una ruta y una línea de comandos en la flota

4 tareas · 35 min · Principiante

Una vez identificados los artefactos en una máquina, el analista realiza una búsqueda global en la consola de EDR para saber cuántos otros equipos tienen el mismo hash o ruta.

0 de 4 · 0%

Objetivo de la sala

Una vez identificados los artefactos en una máquina, el analista realiza una búsqueda global en la consola de EDR para saber cuántos otros equipos tienen el mismo hash o ruta.

Ejecuta SELECT * FROM resultados_busqueda. Cuenta los hosts marcados como Infectados.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué equipo además de POS-BOG-01 tiene el mismo hash malicioso en Temp?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa el estado del controlador de dominio SRV-AD-01.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué estado presenta el servidor SRV-AD-01 en los resultados?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la columna ruta_archivo en los equipos infectados.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿En qué ruta idéntica se alojó el payload en los equipos afectados?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Los servidores de base de datos no presentan rastros de ejecución.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué indica que los servidores principales estén limpios?

Que los servidores no tienen conexión a la red Que el malware aún no se ha propagado al núcleo transaccional y está contenido en cajas registradoras Que el EDR no funciona en servidores

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Búsqueda retrospectiva de indicadores (Hunting Query) en la flota

Motor de búsqueda EDR (KQL / Lucene)

Tablas

resultados_busqueda

host
hash_sha256
ruta_archivo
primera_aparicion
estado_host

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Equipos con el hash sospechoso Lab

2 Servidores críticos revisados Lab

3 Ruta común del payload Lab

4 Alcance inicial acotado Lab

Whoami-Labs Pro utiliza cookies