Binarios firmados con tráfico saliente

2 tareas · 40 min · Principiante

0 de 2 · 0%

Muchos LOLBins no están diseñados para comunicarse con Internet. Si herramientas administrativas locales como certutil.exe, bitsadmin.exe, regsvr32.exe o rundll32.exe establecen conexiones TCP salientes (puertos 80, 443 u 8080) hacia direcciones IP no corporativas o externas, la correlación entre su firma digital válida y el evento de conexión de red revela la actividad de balizamiento o descarga hostil.

Responde para continuar

¿Por qué la correlación de Sysmon Event ID 3 (NetworkConnect) con ejecutables como regsvr32.exe es una técnica de caza de alto valor?

Porque Microsoft prohíbe que los binarios firmados utilicen tarjetas de red físicas Porque regsvr32 es una utilidad de registro de DLLs locales que rara vez requiere conectarse a Internet en operaciones legítimas Porque regsvr32 bloquea automáticamente el tráfico de red de todos los navegadores web Porque las conexiones de red de regsvr32 reducen el tamaño de los discos duros a la mitad

Ver pista de ayuda

regsvr32 es para registrar bibliotecas locales; su tráfico web saliente es altamente sospechoso.

Verifica en network_lolbins la dirección IP (destination_ip) a la que se conectó certutil.exe.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué destination_ip figura en la tabla network_lolbins?

Ver pista de ayuda

Observa el valor en la columna destination_ip de network_lolbins.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Linaje y LOLBins · Windows Sysmon Telemetry

Sysmon Event ID 1 & 3 LOLBin Correlation Engine

Tablas

process_tree_lolbins

event_id
parent_image
image
command_line
user
integrity_level
verdict

network_lolbins

process_name
destination_ip
destination_port
is_signed
signer

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Correlación entre firma digital y eventos de red (Sysmon Event ID 3)

2 Dirección IP de destino del tráfico de certutil Lab

Whoami-Labs Pro utiliza cookies