🔒 Registro cerrado · Apertura oficial próximamente · Acceso exclusivo para alumnos activos
Iniciar SesiónLeer una coincidencia y su evidencia
5 tareas · 40 min · Principiante
La salida por defecto de un identificador de capacidades es una lista limpia y convincente: ocho capacidades, cada una con su técnica de ATT&CK al lado. Así llega a los informes, y así se convierte en afirmaciones que nadie comprobó. En esta sala lees las dos salidas de M-3418 en la estación de Fiques Curití: el resumen, que dice qué reglas se cumplieron, y el detalle, que dice dónde y con qué. Solo con el detalle se puede citar una coincidencia en un informe.
Objetivo de la sala
La salida por defecto de un identificador de capacidades es una lista limpia y convincente: ocho capacidades, cada una con su técnica de ATT&CK al lado. Así llega a los informes, y así se convierte en afirmaciones que nadie comprobó. En esta sala lees las dos salidas de M-3418 en la estación de Fiques Curití: el resumen, que dice qué reglas se cumplieron, y el detalle, que dice dónde y con qué. Solo con el detalle se puede citar una coincidencia en un informe.El resumen trae una línea por capacidad: su nombre, el espacio de nombres que la agrupa (persistencia, comunicación, recolección…), el número de coincidencias y la técnica relacionada. Es lo que se ve sin pedir nada más, y es útil para orientarse en un minuto.
El detalle dice, para cada capacidad, en qué alcance casó, en qué función o bloque, qué rasgos encontró y en qué dirección del archivo está cada uno. Es más largo y menos agradable, y es la única parte de la salida que se puede citar: cuando alguien pregunte «¿por qué dice que escribe en el arranque?», la respuesta es una función y dos rasgos, no una línea del resumen.
Responde para continuar
¿Qué parte de la salida se cita en el informe como evidencia de una capacidad?
Ver pista de ayuda
Piensa en qué contestarías si alguien pregunta por qué la herramienta dio esa capacidad.
Una coincidencia en alcance de función se lee de arriba abajo: primero la función donde casó, luego la lógica que pedía la regla (y, o, al menos N) y debajo cada rasgo con su dirección. Si la regla pedía una cadena y una llamada, las dos tienen que estar dentro de esa misma función; si falta una, no hay coincidencia.
Abre el laboratorio y lee primero el resumen y después el detalle.
cat detalle-m3418.txt
Responde para continuar
Escribe la dirección de la función de M-3418 donde casó la regla de escribir un valor de arranque.
Ver pista de ayuda
En el detalle, busca el bloque de esa capacidad y la línea que empieza por «función».
El recuento del resumen es el número de sitios del archivo donde casó la regla. No dice cuántas veces hace algo el programa, ni cuántas funciones distintas intervienen: dos coincidencias pueden ser dos bloques de la misma función, y una función de biblioteca puede sumar una coincidencia que no es del autor.
Antes de escribir «la muestra codifica datos en tres sitios», se mira en el detalle a qué funciones pertenecen esos sitios.
Responde para continuar
¿Cuántas funciones distintas reúnen las coincidencias de la capacidad de codificar datos con XOR?
Ver pista de ayuda
Cada bloque dice entre paréntesis dentro de qué función está.
El detalle a veces deja ver algo que la regla no pedía pero que está en la misma función. En la coincidencia del arranque, la herramienta anota una cadena más: el nombre que el programa daría al valor. No forma parte de la regla y no la hace más fuerte, pero es lo que operaciones necesitará para buscar en los equipos, y lo que la corrida del entorno aislado podrá confirmar o no en la sala 5.
Responde para continuar
Escribe la cadena que aparece en la función del arranque aunque la regla no la pida.
Ver pista de ayuda
Busca la línea entre paréntesis debajo de los rasgos de esa coincidencia.
Cada rasgo del detalle lleva una dirección: el sitio del archivo donde está la llamada, la cadena o la operación. Es la forma de que otra persona lo encuentre en el desensamblado y lo revise. Pero una dirección es un sitio en el código, no un hecho: el programa puede no pasar nunca por ahí, porque la rama depende de una condición que no se cumple o porque esa función no la llama nadie.
Responde para continuar
¿Qué demuestra la dirección que acompaña a un rasgo en el detalle de una coincidencia?
Ver pista de ayuda
Vuelve al pie del detalle: la herramienta lo dice con sus palabras.
Whoami-Labs Pro
Whoami-Labs Pro utiliza cookies
Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad
Preferencias
Configuraciones de cookies
Elige qué categorías permitir. Las esenciales siempre están activas. Consulta la Política de Privacidad.
Esenciales
Siempre activas · sesión, CSRF, tema y esta preferencia
Necesarias para iniciar sesión, proteger formularios (CSRF) y recordar tu elección de cookies y tema. Sin ellas la plataforma no funciona de forma segura.
Analíticos
Hoy no activos en la plataforma; listos para cuando se conecten
Nos ayudan a entender uso de cursos y páginas. Si los activas, se usarán cuando conectemos analítica; hasta entonces no se carga ningún tracker.
Marketing
Hoy no activos; campañas futuras solo con tu permiso
Comunicaciones o campañas. No activos hoy en la plataforma; quedarán listos si los conectamos y solo si los permites.