Llamadas a la API: qué pide una muestra al sistema

4 tareas · 35 min · Principiante

Para interactuar con el sistema operativo (archivos, memoria, red, registro), el software invoca funciones de la Win32 API. Leer los nombres y parámetros de estas llamadas en un informe de sandbox permite inferir las intenciones del código sin desensamblar.

0 de 4 · 0%

Objetivo de la sala

Las muestras suelen perfilar el entorno antes de operar. Ejecuta SELECT * FROM api_calls.\n\nRevisa la llamada con secuencia 1.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué función API fue llamada para obtener el nombre del equipo de la víctima?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Para desempaquetar código o ejecutar shellcode, el malware solicita memoria con permisos PAGE_EXECUTE_READWRITE (RWX). Observa la llamada 2.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué función de la API de Windows asignó un bloque de memoria ejecutable de 64 KB?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Revisa la llamada número 4 en la tabla api_calls. Observa la función invocada hacia lsass.exe y su código de retorno.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué código de error devolvió la llamada CreateRemoteThread al intentar inyectar en lsass.exe?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

La llamada 5 abre la clave Run del usuario actual. Esto apunta a la técnica T1547.001 de MITRE ATT&CK.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué objetivo táctico persigue una muestra al invocar RegOpenKeyExW sobre la clave Software\\Microsoft\\Windows\\CurrentVersion\\Run?

Cerrar la sesión de Windows de forma forzada Descifrar las contraseñas almacenadas en el navegador del equipo Establecer persistencia para ejecutarse automáticamente en cada inicio de sesión del usuario

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Trazas de llamadas a la API de Windows en sandbox (muestra M-2301)

Monitor de API Win32 · llamadas capturadas

Tablas

api_calls

secuencia
funcion_api
argumentos
resultado_retorno
proposito_estimado

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Reconocimiento de host mediante API Lab

2 Asignación de memoria ejecutable Lab

3 Intento de inyección remota fallido Lab

4 Persistencia en el registro Lab

Whoami-Labs Pro utiliza cookies