Procesos, hilos y módulos en una salida de ejemplo

4 tareas · 35 min · Principiante

Lunes 10 de mayo de 2027, Distribuidora Monguí S.A.S. Una alerta de telemetría señala un proceso sospechoso en la estación EST-04. Para entender el informe de análisis, el analista debe dominar la jerarquía básica de procesos de Windows y cómo se estructuran sus módulos en memoria.

0 de 4 · 0%

Objetivo de la sala

En Windows, cada proceso es creado por otro proceso padre (PPID). Los procesos esenciales del sistema tienen relaciones fijas: smss.exe lanza csrss.exe y wininit.exe, y wininit.exe arranca services.exe y lsass.exe.\n\nEjecuta SELECT * FROM procesos en el panel.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué proceso legítimo es el padre esperado de services.exe en la arquitectura de Windows?

explorer.exe wininit.exe svchost.exe

Observa el proceso rundll32.exe sospechoso ejecutado por svchost.exe bajo la cuenta del operador y llamando a una DLL en una carpeta temporal.\n\nEscribe el PID del proceso anómalo rundll32.exe.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el PID del proceso rundll32.exe ejecutado desde la carpeta temporal?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Un proceso carga bibliotecas dinámicas (DLL) para ejecutar funciones. Ejecuta SELECT * FROM modulos WHERE pid = 4892.\n\nEscribe el nombre de la DLL cargada desde el directorio Temp.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué archivo DLL sospechoso fue cargado en memoria por el proceso 4892?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Los binarios legítimos del sistema residen en %SystemRoot%\\System32. Cuando un ejecutable con nombre de sistema corre desde %TEMP% o %APPDATA%, indica suplantación o persistencia no autorizada.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué la presencia de update.dll en C:\\Users\\operador\\AppData\\Local\\Temp es un indicador de compromiso relevante?

Porque rundll32.exe solo puede cargar archivos con extensión .sys Porque Windows prohíbe técnicamente cargar cualquier DLL desde carpetas de usuario Porque los ejecutables legítimos de Windows residen en directorios protegidos del sistema y Temp es una zona de escritura de usuario no restringida

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Distribuidora Monguí — árbol de procesos y módulos en EST-04

Visor de telemetría de endpoint · consultas guardadas

Tablas

procesos

pid
ppid
proceso
usuario
linea_comando
hilos

modulos

pid
modulo_cargado
ruta_modulo
tamano_kb

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Jerarquía y relaciones de procesos padre-hijo (PPID) Lab

2 Detección de procesos fuera de árbol Lab

3 Módulos cargados en memoria Lab

4 Análisis de la ruta de ejecución Lab

Whoami-Labs Pro utiliza cookies