Rutas y ubicaciones que todo analista reconoce

4 tareas · 35 min · Principiante

El sistema de archivos de Windows tiene rutas específicas donde el malware comúnmente suelta sus artefactos debido a la ausencia de restricciones de escritura para usuarios estándar: Temp, AppData, Public y ProgramData.

0 de 4 · 0%

Objetivo de la sala

Ejecuta SELECT * FROM rutas_sistema. Examina los permisos de escritura de cada categoría.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué permiso requiere un proceso para escribir directamente en C:\\Windows\\System32?

Solo permitido a cuentas de invitado Permitido a cualquier usuario estándar Requiere privilegios de Administrador (Admin)

Observa la ruta C:\\Users\\<user>\\AppData\\Local\\Temp.\n\nEscribe el nivel de riesgo de ejecución asociado a esta carpeta en la tabla.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el nivel de riesgo de ejecución asignado a la carpeta Temp del usuario?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Revisa la ruta C:\\Users\\Public. Esta carpeta es accesible por todos los usuarios del equipo local.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Para qué fase operativa del malware suele ser aprovechada con frecuencia la carpeta C:\\Users\\Public?

Ver pista de ayuda

Consulta los registros en el panel de telemetría.

Los defensores configuran políticas que bloquean la ejecución de binarios y scripts desde carpetas con permisos de escritura para usuarios comunes.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué medida de arquitectura reduce drásticamente la efectividad del malware soltado en Temp y AppData?

Eliminar la carpeta C:\Windows\System32 del sistema Desactivar el cortafuegos de Windows en la estación Configurar AppLocker o WDAC para prohibir la ejecución de binarios desde carpetas de escritura del usuario

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Inventario de rutas habituales de ejecución de malware vs sistema

Filtro de rutas de ejecución sospechosas

Tablas

rutas_sistema

categoria
ruta_patron
permiso_escritura_usuario_estandar
riesgo_ejecucion

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Rutas de sistema protegidas Lab

2 Zonas de escritura irrestricta de usuario Lab

3 Carpeta pública como zona de staging Lab

4 Políticas de restricción de software (SRP/AppLocker) Lab

Whoami-Labs Pro utiliza cookies