Escenario: Auditoría de arquitectura Windows en Distribuidora Monguí

4 tareas · 35 min · Principiante

Caso real ficticio. El equipo de TI de Distribuidora Monguí S.A.S. reportó un incidente (INC-8812) en una estación de despacho. Como analista de seguridad, debes revisar la telemetría recolectada, separar los procesos benignos de las anomalías estructurales de Windows y emitir el dictamen técnico.

0 de 4 · 0%

Objetivo de la sala

Ejecuta SELECT * FROM hallazgos. Examina la telemetría e identifica el id de la alerta que detectó un proceso con nombre de sistema corriendo fuera de System32.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué id de alerta corresponde al proceso svchost.exe ejecutado fuera de System32?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Observa la alerta ALT-02. Un ejecutable está registrado como servicio con cuenta LocalSystem pero reside en C:\\Users\\Public\\Libraries.\n\nEscribe el nombre del objeto ejecutable anómalo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el nombre del ejecutable malicioso registrado como servicio en la carpeta pública?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Revisa la alerta ALT-03. La biblioteca version.dll está siendo cargada por el ejecutable corporativo de facturación desde su propio directorio de programa.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué anomalía técnica se identificó en el hallazgo ALT-03?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Con base en los tres hallazgos críticos (ALT-01, ALT-02, ALT-03), el analista redacta la recomendación técnica para el comité de incidentes.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es la recomendación prioritaria para mitigar los tres hallazgos y prevenir recurrencia en la estación?

Ignorar las alertas porque svchost.exe y cmd.exe son ejecutables legítimos del sistema operativo Formatear el controlador de dominio de la empresa sin revisar la estación de trabajo Aislar el host, terminar el proceso svchost.exe anómalo en AppData, detener y eliminar el servicio sync_agent.exe, restaurar la versión legítima de facturación y aplicar políticas de AppLocker para restringir ejecución desde carpetas de usuario

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Distribuidora Monguí — Auditoría de telemetría de endpoint sospechoso (INC-8812)

Mesa de Respuesta a Incidentes · Distribuidora Monguí S.A.S.

Tablas

hallazgos

id_alerta
objeto
ruta_detectada
cuenta_ejecutora
anomalia_identificada
severidad

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Análisis de proceso suplantador Lab

2 Identificación de servicio espurio Lab

3 Técnica de evasión por DLL Lab

4 Dictamen de contención y remediación Lab

Whoami-Labs Pro utiliza cookies