Cargas guardadas en el registro y en WMI

4 tareas · 35 min · Principiante

El malware fileless logra persistencia ocultando scripts o shellcode en valores del Registro de Windows o en suscripciones de eventos permanentes de WMI.

0 de 4 · 0%

Objetivo de la sala

El malware fileless logra persistencia ocultando scripts o shellcode en valores del Registro de Windows o en suscripciones de eventos permanentes de WMI.

Ejecuta SELECT * FROM persistencia_fileless. Revisa la primera fila.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué comando ejecuta la clave de registro Run para invocar la carga oculta?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa la segunda fila con la clave Software\App\Payload.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el propósito de la clave Software\\App\\Payload?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa el mecanismo basado en WMI Event Subscription.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué dos clases de WMI se combinan para activar la persistencia sin archivo?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Consultar claves de registro con código ejecutable revela la persistencia.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cómo descubre el analista un payload sin archivo oculto en el registro?

Revisando la papelera de reciclaje de Windows Formateando el equipo preventivamente Inspeccionando valores de registro inusualmente largos que contienen código Base64 o comandos de PowerShell

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Cargas ocultas en el Registro de Windows y suscripciones WMI

Inspección forense de registro y repositorio WMI

Tablas

persistencia_fileless

mecanismo
clave_o_clase
valor_o_script
proposito

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Lanzador en clave Run Lab

2 Almacén de shellcode binario Lab

3 Persistencia por WMI Lab

4 Detección de persistencias en registro Lab

Whoami-Labs Pro utiliza cookies