Líneas de comando raras en procesos comunes

2 tareas · 40 min · Principiante

0 de 2 · 0%

Aunque el binario certutil.exe sea legítimo para gestionar certificados, su invocación con flags como -urlcache -split -f para descargar archivos remotos desde Internet representa un desvío evidente de su propósito funcional. El cazador audita patrones sintácticos raros: URLs incrustadas en binarios que no son navegadores, argumentos codificados en Base64 o invocaciones que fuerzan ejecución de scripts en memoria.

Responde para continuar

Al supervisar el uso de certutil.exe, ¿qué argumento de línea de comandos delata comúnmente su abuso para descargar artefactos externos?

-ping -dump -urlcache -split -f -viewdel

Ver pista de ayuda

Observa la combinación de parámetros que fuerza la descarga web y división de caché.

Revisa en network_lolbins el nombre del proceso (process_name) que se conectó a la IP 198.51.100.54.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué process_name figura en la tabla network_lolbins?

Ver pista de ayuda

Observa el valor en la primera columna de network_lolbins.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Linaje y LOLBins · Windows Sysmon Telemetry

Sysmon Event ID 1 & 3 LOLBin Correlation Engine

Tablas

process_tree_lolbins

event_id
parent_image
image
command_line
user
integrity_level
verdict

network_lolbins

process_name
destination_ip
destination_port
is_signed
signer

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Análisis semántico de argumentos CommandLine

2 Proceso firmado generando tráfico en la red Lab

Whoami-Labs Pro utiliza cookies