Loading
_ DESCIFRANDO CONEXIÓN SEGURA...

Leer una coincidencia y su evidencia

5 tareas · 40 min · Principiante

La salida por defecto de un identificador de capacidades es una lista limpia y convincente: ocho capacidades, cada una con su técnica de ATT&CK al lado. Así llega a los informes, y así se convierte en afirmaciones que nadie comprobó. En esta sala lees las dos salidas de M-3418 en la estación de Fiques Curití: el resumen, que dice qué reglas se cumplieron, y el detalle, que dice dónde y con qué. Solo con el detalle se puede citar una coincidencia en un informe.

0 de 5 · 0%

Objetivo de la sala

La salida por defecto de un identificador de capacidades es una lista limpia y convincente: ocho capacidades, cada una con su técnica de ATT&CK al lado. Así llega a los informes, y así se convierte en afirmaciones que nadie comprobó. En esta sala lees las dos salidas de M-3418 en la estación de Fiques Curití: el resumen, que dice qué reglas se cumplieron, y el detalle, que dice dónde y con qué. Solo con el detalle se puede citar una coincidencia en un informe.

El resumen trae una línea por capacidad: su nombre, el espacio de nombres que la agrupa (persistencia, comunicación, recolección…), el número de coincidencias y la técnica relacionada. Es lo que se ve sin pedir nada más, y es útil para orientarse en un minuto.

El detalle dice, para cada capacidad, en qué alcance casó, en qué función o bloque, qué rasgos encontró y en qué dirección del archivo está cada uno. Es más largo y menos agradable, y es la única parte de la salida que se puede citar: cuando alguien pregunte «¿por qué dice que escribe en el arranque?», la respuesta es una función y dos rasgos, no una línea del resumen.

Responde para continuar

¿Qué parte de la salida se cita en el informe como evidencia de una capacidad?

Ver pista de ayuda

Piensa en qué contestarías si alguien pregunta por qué la herramienta dio esa capacidad.

Una coincidencia en alcance de función se lee de arriba abajo: primero la función donde casó, luego la lógica que pedía la regla (y, o, al menos N) y debajo cada rasgo con su dirección. Si la regla pedía una cadena y una llamada, las dos tienen que estar dentro de esa misma función; si falta una, no hay coincidencia.

Abre el laboratorio y lee primero el resumen y después el detalle.

cat detalle-m3418.txt

Responde para continuar

Escribe la dirección de la función de M-3418 donde casó la regla de escribir un valor de arranque.

Ver pista de ayuda

En el detalle, busca el bloque de esa capacidad y la línea que empieza por «función».

El recuento del resumen es el número de sitios del archivo donde casó la regla. No dice cuántas veces hace algo el programa, ni cuántas funciones distintas intervienen: dos coincidencias pueden ser dos bloques de la misma función, y una función de biblioteca puede sumar una coincidencia que no es del autor.

Antes de escribir «la muestra codifica datos en tres sitios», se mira en el detalle a qué funciones pertenecen esos sitios.

Responde para continuar

¿Cuántas funciones distintas reúnen las coincidencias de la capacidad de codificar datos con XOR?

Ver pista de ayuda

Cada bloque dice entre paréntesis dentro de qué función está.

El detalle a veces deja ver algo que la regla no pedía pero que está en la misma función. En la coincidencia del arranque, la herramienta anota una cadena más: el nombre que el programa daría al valor. No forma parte de la regla y no la hace más fuerte, pero es lo que operaciones necesitará para buscar en los equipos, y lo que la corrida del entorno aislado podrá confirmar o no en la sala 5.

Responde para continuar

Escribe la cadena que aparece en la función del arranque aunque la regla no la pida.

Ver pista de ayuda

Busca la línea entre paréntesis debajo de los rasgos de esa coincidencia.

Cada rasgo del detalle lleva una dirección: el sitio del archivo donde está la llamada, la cadena o la operación. Es la forma de que otra persona lo encuentre en el desensamblado y lo revise. Pero una dirección es un sitio en el código, no un hecho: el programa puede no pasar nunca por ahí, porque la rama depende de una condición que no se cumple o porque esa función no la llama nadie.

Responde para continuar

¿Qué demuestra la dirección que acompaña a un rasgo en el detalle de una coincidencia?

Ver pista de ayuda

Vuelve al pie del detalle: la herramienta lo dice con sus palabras.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad