La partición EFI como evidencia forense

4 tareas · 35 min · Principiante

Los bootkits se instalan en la partición del sistema EFI (ESP) para ejecutarse antes de que Windows arranque, alterando la cadena de confianza en memoria.

0 de 4 · 0%

Objetivo de la sala

Los bootkits se instalan en la partición del sistema EFI (ESP) para ejecutarse antes de que Windows arranque, alterando la cadena de confianza en memoria.

Ejecuta SELECT * FROM particion_efi. Revisa bootmgfw.efi.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué firma presenta el cargador legítimo de Windows bootmgfw.efi?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa el archivo EFI\Boot\bootx64.efi.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué anomalía de firma presenta el archivo bootx64.efi?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la ruta del archivo malicioso en la partición ESP.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿En qué ruta de la partición EFI se alojó el binario revocado?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

La partición EFI es independiente del volumen de Windows.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué un bootkit alojado en la partición EFI sobrevive a reinstalar Windows si solo se formatea la unidad C:?

Porque los procesadores Intel guardan los archivos en memoria caché Porque el bootkit se copia a la nube automáticamente Porque la partición ESP es un volumen separado FAT32 que no se borra al formatear únicamente el volumen del sistema C:

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Inspección forense de la partición EFI del sistema (ESP / Bootkit)

Auditor de archivos de partición ESP (FAT32)

Tablas

particion_efi

ruta_efi
tamano_bytes
hash_sha256
firma_authenticode

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Cargador oficial de Windows Lab

2 Binario de bootkit en EFI Lab

3 Ruta del bootkit Lab

4 Supervivencia al formateo de C: Lab

Whoami-Labs Pro utiliza cookies