Diferencias entre lo que ve el sistema y lo que ve la memoria

4 tareas · 35 min · Principiante

Los rootkits manipulan estructuras internas de Windows como la lista de procesos activos (DKOM - Direct Kernel Object Manipulation) para que el Administrador de Tareas no los muestre, pero un volcado de memoria física los revela.

0 de 4 · 0%

Objetivo de la sala

Ejecuta SELECT * FROM procesos_ocultos. Observa el proceso 4108.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué proceso no es visible en el Administrador de Tareas pero sí en Volatility?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la columna visible_en_taskmgr para el PID 4108.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Mediante qué técnica de kernel fue ocultado el proceso 4108?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa el identificador de proceso numérico.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué PID tiene el proceso oculto detectado en memoria física?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

La discrepancia entre la API y la memoria es la prueba reina de un rootkit.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué demuestra que un proceso aparezca al escanear bloques de memoria física pero no figure en la API de procesos de Windows?

Que el usuario cerró sesión Una alteración de estructuras de kernel (DKOM) típica de un rootkit de Ring 0 Un fallo de tarjeta de video

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Discrepancia entre la vista de la API de Windows y la memoria física

Comparador diferencial Volatility vs Task Manager

Tablas

procesos_ocultos

pid
nombre_proceso
visible_en_taskmgr
visible_en_volatility_psxview

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Proceso oculto en Task Manager Lab

2 Técnica de ocultamiento Lab

3 PID del rootkit Lab

4 Discrepancia como firma de rootkit Lab

Whoami-Labs Pro utiliza cookies