Cadenas y artefactos recuperados

2 tareas · 40 min · Principiante

0 de 2 · 0%

Dado que el malware debe desofuscarse antes de ejecutar sus instrucciones en la CPU, la memoria RAM expone en texto claro elementos que en disco estaban fuertemente empaquetados o cifrados: URLs de comando y control, scripts de PowerShell en memoria, cadenas de configuración y credenciales de usuario. Extraer cadenas desde volcados VAD seleccionados aporta evidencia concluyente sin necesidad de ingeniería inversa estática completa.

Responde para continuar

¿Por qué la extracción de cadenas desde una imagen de memoria suele ser más fructífera que hacerlo sobre el archivo ejecutable en disco?

Porque la memoria RAM traduce automáticamente cualquier idioma extranjero al español Porque en la memoria el ejecutable ya ha sido desempaquetado y descifrado para permitir su ejecución por el procesador Porque las imágenes de memoria duplican el tamaño de todas las cadenas de texto del sistema Porque los archivos en disco se borran automáticamente en cuanto el usuario presiona una tecla

Ver pista de ayuda

El proceso en ejecución necesariamente reside en memoria en su forma desempaquetada y ejecutable.

Revisa en la tabla pslist_malfind el identificador del proceso padre (ppid) para el proceso svchost.exe con PID 4108.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el ppid del proceso 4108 en pslist_malfind?

Ver pista de ayuda

Observa el valor en la columna ppid en la primera fila de pslist_malfind.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Memoria RAM · Volatility 3 & MemProcFS

Memory Forensics Analysis Framework (Volatility v3)

Tablas

pslist_malfind

pid
ppid
image_name
vad_tag
protection
commit_charge
decision

netscan_memory

pid
process_name
local_addr
local_port
foreign_addr
foreign_port
state

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Extracción de texto, URLs y artefactos desofuscados

2 PPID del proceso inyectado Lab

Whoami-Labs Pro utiliza cookies