Rastros en memoria y en el árbol de procesos

4 tareas · 35 min · Principiante

Inyectar una baliza en un proceso legítimo genera memoria con permisos RWX sin respaldo en disco, ganchos indirectos o técnicas de Sleep Masking detectables en volcados de RAM.

0 de 4 · 0%

Objetivo de la sala

Inyectar una baliza en un proceso legítimo genera memoria con permisos RWX sin respaldo en disco, ganchos indirectos o técnicas de Sleep Masking detectables en volcados de RAM.

Ejecuta SELECT * FROM artefactos_memoria. Revisa la primera fila.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué permisos presenta la región de memoria 0x00A40000?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Observa la técnica empleada en la región 0x7FFF1000.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué técnica de evasión de ganchos de ntdll se detectó en 0x7FFF1000?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Revisa la técnica en la región 0x00B20000 con permisos PAGE_NOACCESS.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué técnica de ocultamiento de memoria durante la espera se identificó?

Ver pista de ayuda

Consulta la evidencia en el panel de telemetría.

Una página de memoria ejecutable que no proviene de un archivo .dll en disco delata inyección.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Por qué la memoria RWX sin respaldo en disco es una firma crítica de inyección de balizas?

Porque los programas legítimos cargan su código desde archivos DLL verificados en disco y no asignan memoria RWX anónima Porque el procesador se sobrecalienta Porque Windows prohíbe el uso de la memoria RAM

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Rastros en memoria RAM y llamadas al sistema (Sysmon / Volatility)

Escáner de artefactos de memoria (YARA / Hook Detection)

Tablas

artefactos_memoria

region_memoria
permisos
patron_encontrado
tecnica_evasion

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Región RWX anómala Lab

2 Llamadas indirectas al sistema Lab

3 Sleep Masking en RAM Lab

4 Indicador de inyección reflectiva Lab

Whoami-Labs Pro utiliza cookies