Escenario: Reconstruir una intrusión sin ejecutable en Colegio de Barichara

4 tareas · 35 min · Principiante

Incidente INC-8820 en Colegio Mayor de Barichara. El antivirus tradicional no reportó ninguna alerta, pero el tráfico de red muestra balizas hacia c2-barichara.lab. Debes revisar Sysmon, WMI y los eventos de PowerShell para reconstruir la cadena 100% fileless.

0 de 4 · 0%

Objetivo de la sala

Ejecuta SELECT * FROM cronologia_sin_archivo. Revisa el paso 1.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué mecanismo y binario ejecutó el ataque inicial?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa el paso 2 de persistencia oculta.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué componentes combinó la persistencia sin crear archivos ejecutables?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa el paso 3 referente al shellcode en RAM.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué método de .NET ejecutó el shellcode en memoria?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

El analista presenta el dictamen al comité directivo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué el antivirus tradicional de firmas no detectó la intrusión en disco?

Porque los servidores estaban desconectados de la energía eléctrica Porque el atacante tenía una cuenta de correo oficial del colegio Porque fue un ataque 100% sin archivo (fileless) que abusó de LOLBins legítimos (mshta.exe) y residió exclusivamente en el Registro y la memoria RAM

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Colegio Mayor de Barichara — Reconstrucción de intrusión sin archivo (INC-8820)

Comité de Seguridad Informática · Colegio de Barichara

Tablas

cronologia_sin_archivo

paso
artefacto_detectado
mecanismo_usado
evidencia_disponible

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Paso de ejecución inicial Lab

2 Persistencia en registro Lab

3 Ejecución en memoria Lab

4 Dictamen de ausencia de binarios Lab

Whoami-Labs Pro utiliza cookies