Ejecutar la caza (lectura de evidencia)

2 tareas · 40 min · Principiante

0 de 2 · 0%

Al obtener coincidencias (hits), el cazador no declara inmediatamente un compromiso: inspecciona el árbol de procesos, el usuario ejecutor y la procedencia del script. Un -EncodedCommand puede ser un instalador legítimo de un software antivirus o la primera fase de un cargador hostil.

Responde para continuar

Al hallar una ejecución de PowerShell codificada en Base64, ¿qué acción analítica confirma su naturaleza?

Decodificar el contenido de la cadena Base64 y analizar el código script resultante y sus conexiones Asumir automáticamente que es un falso positivo y cerrar la investigación Borrar inmediatamente el registro de eventos para que no ocupe espacio en disco Cambiar el nombre del archivo PowerShell por calc.exe

Ver pista de ayuda

Decodificar e inspeccionar el contenido semántico del script.

Verifica en hunt_execution_telemetry el número de coincidencias (hits_found) identificadas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuántas coincidencias (hits_found) se registraron en la caza HNT-SIM-01?

Ver pista de ayuda

Observa el valor numérico en la columna hits_found.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Caza Guiada por Inteligencia de Amenazas (CTI)

Threat Intel Driven Hunt Analyzer & IoC Telemetry Correlator

Tablas

cti_campaign_intel

threat_actor
target_vertical
ttp_code
ttp_name
reported_confidence
source_report

hunt_execution_telemetry

hunt_id
hypothesis_id
evidence_source
hits_found
confidence_assessed
deliverable_rule

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Lectura e interpretación forense de coincidencias

2 Coincidencias encontradas en la ejecución Lab

Whoami-Labs Pro utiliza cookies