El registro de bloques de script como evidencia

4 tareas · 35 min · Principiante

Script Block Logging (Event ID 4104 de PowerShell) registra el contenido completo del script en el momento exacto en que se ejecuta, desofuscando capas de Base64 o cadenas comprimidas.

0 de 4 · 0%

Objetivo de la sala

Script Block Logging (Event ID 4104 de PowerShell) registra el contenido completo del script en el momento exacto en que se ejecuta, desofuscando capas de Base64 o cadenas comprimidas.

Ejecuta SELECT * FROM script_blocks. Revisa el evento 4104-01.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué llamada crítica utilizó el script en el evento 4104-01?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa el evento 4104-02.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué llamada crítica de .NET se empleó para cargar el ensamblado directamente en RAM?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la alerta Sigma disparada por la carga reflectiva.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué alerta Sigma se disparó en el evento 4104-02?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

El Event ID 4104 desarma la ofuscación en tiempo de ejecución.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué el Event ID 4104 es la evidencia más valiosa contra scripts ofuscados de PowerShell?

Porque cifra los registros para que el atacante no los lea Porque captura el código descifrado y ensamblado tal como el motor de PowerShell lo va a ejecutar Porque borra el virus antes de que empiece

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Registro de bloques de script (Script Block Logging - Event ID 4104)

Auditoría de PowerShell · Eventos 4104

Tablas

script_blocks

evento_id
script_desofuscado
llamada_critica
alerta_sigma

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Llamada crítica de descarga Lab

2 Carga reflectiva en memoria Lab

3 Alerta Sigma asociada Lab

4 Poder forense del Event ID 4104 Lab

Whoami-Labs Pro utiliza cookies