Leer el árbol de procesos de una consola de EDR

4 tareas · 35 min · Principiante

La consola de EDR organiza los eventos en un árbol jerárquico que permite reconstruir la cadena de ataque desde el proceso inicial hasta la ejecución del malware.

0 de 4 · 0%

Objetivo de la sala

La consola de EDR organiza los eventos en un árbol jerárquico que permite reconstruir la cadena de ataque desde el proceso inicial hasta la ejecución del malware.

Ejecuta SELECT * FROM arbol_edr. Observa el nodo N-02.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué PID tiene el proceso powershell.exe con comando en Base64?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa el compilador C# invocado en el nodo N-03.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el proceso del compilador de C# ejecutado por el script?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa el nodo N-04 correspondiente al binario payload.exe.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué alerta fue disparada por la ejecución de payload.exe?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

El árbol evidencia una técnica Living off the Land (LOLBins).

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué secuencia de ejecución revela el árbol de procesos en el EDR?

PowerShell ejecutó csc.exe para compilar localmente el payload y luego lanzar la baliza C2 El compilador csc.exe eliminó el archivo malicioso Explorer se infectó espontáneamente sin intervención de scripts

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Visualización de árbol de procesos en consola de EDR (incidente POS)

Árbol de ejecución de eventos correlacionados

Tablas

arbol_edr

nodo_id
proceso
pid
linea_comando
alerta_disparada

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Proceso PowerShell anómalo Lab

2 Compilación de código local Lab

3 Alerta de baliza C2 Lab

4 Reconstrucción de la cadena Lab

Whoami-Labs Pro utiliza cookies