Padres e hijos de proceso improbables

2 tareas · 40 min · Principiante

0 de 2 · 0%

El contexto jerárquico es la señal más contundente en la caza de LOLBins. Un proceso ofimático como EXCEL.EXE o WINWORD.EXE jamás debería engendrar como proceso hijo a intérpretes como powershell.exe, cmd.exe o mshta.exe. De igual forma, que un servidor web (w3wp.exe) o un motor de base de datos engendre una shell de comandos apunta a explotación remota (Web Shell o inyección de comandos).

Responde para continuar

¿Qué relación padre-hijo de procesos constituye una señal inequívoca de explotación mediante documento ofimático malicioso?

services.exe iniciando svchost.exe durante el arranque ordinario del sistema operativo explorer.exe ejecutando calc.exe tras la pulsación de la tecla de acceso rápido EXCEL.EXE ejecutando directamente como proceso hijo a mshta.exe o powershell.exe chrome.exe creando procesos hijos de tipo renderizador en su arquitectura multiproceso

Ver pista de ayuda

Una aplicación ofimática iniciando intérpretes o ejecutables de script del sistema.

Consulta en process_tree_lolbins la ruta del proceso padre (parent_image) que invocó mshta.exe.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el parent_image registrado en EVT-PROC-7701?

Ver pista de ayuda

Copia el contenido íntegro de parent_image en la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Linaje y LOLBins · Windows Sysmon Telemetry

Sysmon Event ID 1 & 3 LOLBin Correlation Engine

Tablas

process_tree_lolbins

event_id
parent_image
image
command_line
user
integrity_level
verdict

network_lolbins

process_name
destination_ip
destination_port
is_signed
signer

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Genealogía de procesos y linajes anómalos

2 Proceso padre en la ejecución de mshta Lab

Whoami-Labs Pro utiliza cookies