Listas de procesos y relaciones

2 tareas · 40 min · Principiante

0 de 2 · 0%

En Windows, los procesos activos se organizan en listas dobles enlazadas (ActiveProcessLinks). Plugins como windows.pslist recorren esta lista. Sin embargo, los rootkits y técnicas avanzadas de evasión pueden desenganchar una estructura de la lista (DKOM - Direct Kernel Object Manipulation). Por ello, herramientas como Volatility usan psxview para cotejar múltiples fuentes del kernel (planificador de hilos, CSRSS, escaneo de páginas) y descubrir procesos ocultos.

Responde para continuar

¿Qué técnica de evasión del kernel busca ocultar un proceso desenganchándolo de la lista ActiveProcessLinks?

Cross-Site Scripting reflejado en memoria Fragmentación forzada de paquetes TCP perimetrales Timestomping de atributos de archivo en disco DKOM (Direct Kernel Object Manipulation)

Ver pista de ayuda

La manipulación directa de objetos del kernel (DKOM) altera punteros de la estructura EPROCESS.

Verifica en la tabla pslist_malfind el PID del proceso identificado con inyección sospechosa.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el PID del proceso afectado en pslist_malfind?

Ver pista de ayuda

Observa el valor en la columna pid de la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Memoria RAM · Volatility 3 & MemProcFS

Memory Forensics Analysis Framework (Volatility v3)

Tablas

pslist_malfind

pid
ppid
image_name
vad_tag
protection
commit_charge
decision

netscan_memory

pid
process_name
local_addr
local_port
foreign_addr
foreign_port
state

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Comparación entre pslist, pstree y psxview

2 PID del proceso inyectado en el laboratorio Lab

Whoami-Labs Pro utiliza cookies