Cuentas administrativas nuevas o reactivadas

2 tareas · 40 min · Principiante

0 de 2 · 0%

Para asegurar que no perderán acceso si la víctima detecta su punto de entrada inicial, los atacantes suelen reactivar cuentas de administradores en desuso o crear nuevas cuentas con apariencia legítima (svc_backup_admin, admin_temp) y agregarlas al grupo Domain Admins. En telemetría de controladores de dominio, esto dispara los Event IDs 4720 (cuenta creada) y 4728 (miembro añadido a grupo de seguridad).

Responde para continuar

¿Qué evento de auditoría de Windows Security registra la incorporación de un usuario al grupo de Domain Admins?

Event ID 4624 Event ID 1102 Event ID 4728 Event ID 7045

Ver pista de ayuda

El evento 4728 audita la adición de miembros a grupos de seguridad globales.

Verifica en backup_destruction_events el nombre del servidor afectado (target_host).

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el target_host en la tabla backup_destruction_events?

Ver pista de ayuda

Observa el valor en la columna target_host de la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Detección de Precursores de Ransomware

Pre-Ransomware Behavioral Telemetry Analyzer (Volume Shadow / AD Spike)

Tablas

backup_destruction_events

event_id
target_host
command_executed
service_tampered
user_account
status

ad_enumeration_spikes

source_ip
query_count
ad_filter
time_window_min
risk_state

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Persistencia de credenciales de respaldo en Active Directory

2 Host objetivo del ataque a copias de seguridad Lab

Whoami-Labs Pro utiliza cookies