Qué es la configuración de una familia y por qué importa

4 tareas · 35 min · Principiante

Muchos troyanos y troyanos de acceso remoto (RAT) guardan su configuración en un bloque cifrado dentro del binario. Los extractores estáticos permiten descifrar estos datos sin ejecutar la muestra.

0 de 4 · 0%

Objetivo de la sala

Muchos troyanos y troyanos de acceso remoto (RAT) guardan su configuración en un bloque cifrado dentro del binario. Los extractores estáticos permiten descifrar estos datos sin ejecutar la muestra.

Ejecuta SELECT * FROM config_raw. Observa el valor del C2 primario.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el dominio y puerto del servidor C2 primario extraído?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

El mutex evita que la muestra se ejecute dos veces en el mismo equipo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué nombre de mutex quedó registrado en la configuración?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la bandera keylog_enabled en la tabla.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué indica que la bandera keylog_enabled tenga valor true?

Que el teclado del equipo quedará bloqueado permanentemente Que el malware registrará las pulsaciones de teclado del usuario Que el antivirus eliminará la muestra automáticamente

Los extractores estáticos leen la configuración sin detonación dinámica.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué la extracción estática es preferible a esperar la conexión en sandbox?

Porque garantiza que el autor del malware sea arrestado de inmediato Porque no requiere analizar archivos sospechosos Porque obtiene dominios de respaldo y parámetros inactivos sin depender de que el servidor C2 esté encendido

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Constructora San Gil — extracción estática de configuración (familia RemcosRAT)

Módulo extractor de configuración de RATs

Tablas

config_raw

parametro
valor_extraido
tipo_dato

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Extracción estática Lab

2 Identificador de mutex Lab

3 Capacidad de keylogger Lab

4 Ventaja del análisis estático Lab

Whoami-Labs Pro utiliza cookies