Qué significa sin archivo y qué sí queda

4 tareas · 35 min · Principiante

El malware sin archivo (fileless) no deposita un ejecutable tradicional en el disco. Sin embargo, deja rastros inequívocos en la memoria RAM, claves del registro de Windows y registros de eventos.

0 de 4 · 0%

Objetivo de la sala

El malware sin archivo (fileless) no deposita un ejecutable tradicional en el disco. Sin embargo, deja rastros inequívocos en la memoria RAM, claves del registro de Windows y registros de eventos.

Ejecuta SELECT * FROM procesos_fileless. Revisa el evento EVT-101.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué proceso padre legítimo del sistema lanzó PowerShell en EVT-101?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa el evento EVT-102.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué binario del sistema fue utilizado para ejecutar directamente un payload HTA remoto?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la columna ubicacion_payload en EVT-101.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Dónde residía el payload ejecutado por PowerShell en EVT-101?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Fileless no significa indetectable.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué el término 'sin archivo' no significa que el ataque sea invisible?

Porque la ejecución deja comandos en Sysmon, scripts en eventos de PowerShell y artefactos en memoria RAM Porque el malware imprime hojas automáticamente Porque los cables de red parpadean en color rojo

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Colegio Barichara — telemetría de intrusión sin ejecutable en disco (Fileless)

Consola Sysmon · Event ID 1 (Process Creation)

Tablas

procesos_fileless

evento_id
proceso_padre
linea_comando
ubicacion_payload

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Lanzamiento vía WMI Lab

2 Abuso de MSHTA Lab

3 Ubicación del payload Lab

4 Mito del 'sin rastro' Lab

Whoami-Labs Pro utiliza cookies