Leer salidas de artefactos

2 tareas · 40 min · Principiante

0 de 2 · 0%

Las salidas de Velociraptor se presentan como flujos tabulares de datos estructurados. Cada fila contiene campos normalizados como marcas temporales (ISO 8601 en UTC), hashes, permisos y atributos de archivo. Saber leer estas columnas permite correlacionar marcas de tiempo MFT ($STANDARD_INFORMATION frente a $FILE_NAME) para descubrir técnicas de timestomping.

Responde para continuar

Al examinar la salida de un artefacto de MFT, ¿qué discrepancia temporal es un indicador típico de timestomping?

Eventos que muestran una diferencia de microsegundos entre la lectura del disco y el envío al servidor Marcas temporales de $STANDARD_INFORMATION modificadas hacia el pasado mientras $FILE_NAME conserva la fecha real Marcas temporales que utilizan el huso horario UTC en lugar del horario local del operador Registros de creación que coinciden exactamente con la fecha de compilación oficial del fabricante

Ver pista de ayuda

Recuerda que muchas utilidades de evasión alteran solo los atributos estándar pero no los del nombre de archivo.

Examina la columna sha256 de la primera coincidencia en hunt_results y extrae el hash del ejecutable update_agent.exe.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Indica el hash sha256 completo del ejecutable update_agent.exe en FINANCE-WS-04.

Ver pista de ayuda

Copia el hash exacto de la primera fila en hunt_results.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Respuesta a Incidentes y Caza · Velociraptor VQL

Velociraptor Artifact Collection Engine (VQL)

Tablas

hunt_results

hunt_id
client_id
artifact_name
item_path
sha256
status

client_triage

client_id
hostname
os_version
collection_time
bytes_uploaded

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Interpretación tabular y volumetría de resultados VQL

2 Hash criptográfico detectado en el triaje Lab

Whoami-Labs Pro utiliza cookies