DLL legítimas, rutas esperadas y carga desde lugares raros

4 tareas · 35 min · Principiante

Windows sigue un orden de búsqueda para cargar bibliotecas dinámicas (DLL Search Order). Los atacantes abusan de este mecanismo colocando DLLs maliciosas con nombres idénticos a los del sistema en la carpeta de la aplicación víctima (DLL Search Order Hijacking o Side-Loading).

0 de 4 · 0%

Objetivo de la sala

Abre el panel y ejecuta SELECT * FROM cargas_dll. Examina las rutas reales desde donde se cargan las bibliotecas en los distintos procesos.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿En qué directorio del sistema operativo se espera encontrar legítimamente las DLLs del subsistema Win32 como shell32.dll o version.dll?

C:\Program Files\Common Files C:\Windows\System32 C:\Users\Default\AppData

Revisa el registro con ID DLL-02. El proceso facturacion.exe solicitó version.dll.\n\nEscribe la anomalía registrada para DLL-02.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué anomalía se detectó en la carga de la biblioteca version.dll por parte de facturacion.exe?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Observa qué ejecutable fue utilizado como vector para cargar la biblioteca anómala fuera de System32.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué ejecutable solicitó la carga de version.dll desde su propio directorio de programa?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Para defenderse contra el secuestro del orden de búsqueda de DLLs, las aplicaciones deben usar rutas absolutas seguras o habilitar SafeDllSearchMode.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué es peligroso que una aplicación invoque LoadLibrary sin especificar una ruta absoluta?

Porque el kernel de Windows confunde la DLL con un controlador de dispositivo Porque Windows buscará primero en el directorio actual de la aplicación antes que en System32, permitiendo la ejecución de una DLL maliciosa colocada allí Porque la llamada fallará automáticamente en cualquier versión de Windows moderna

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Auditoría de carga de DLLs y orden de búsqueda (DLL Search Order)

Sysmon Event ID 7 · ImageLoaded

Tablas

cargas_dll

id
proceso_solicitante
dll_cargada
ruta_esperada
ruta_real_cargada
anomalia

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Inspección de cargas de bibliotecas Lab

2 Identificación de DLL Side-Loading Lab

3 Proceso solicitante Lab

4 Mitigación defensiva de carga de DLLs Lab

Whoami-Labs Pro utiliza cookies