Por qué las utilidades del sistema son atractivas

2 tareas · 40 min · Principiante

0 de 2 · 0%

Los adversarios prefieren utilizar herramientas nativas del propio sistema operativo (LOLBins en Windows como certutil, mshta, bitsadmin, rundll32, o LOLBas en Linux como curl, awk, base64) porque ya están instaladas, firmadas por Microsoft o Canonical y no despiertan alertas en antivirus basados en reputación de archivos. La defensa no puede bloquear estos ejecutables sin romper funciones del sistema.

Responde para continuar

¿Cuál es la principal ventaja operativa que buscan los adversarios al utilizar binarios LOLBins en sus intrusiones?

Impedir que el sistema operativo registre la hora oficial en el reloj del BIOS Asegurar que la conexión a Internet sea compatible con servidores de streaming de video Reducir el consumo de memoria RAM de la tarjeta gráfica del endpoint Evadir la detección basada en firmas y listas blancas al utilizar binarios legítimos y firmados del propio sistema operativo

Ver pista de ayuda

Utilizan ejecutables preinstalados y firmados de confianza para mezclarse con la actividad ordinaria.

Consulta en la tabla process_tree_lolbins el identificador (event_id) del proceso marcado con veredicto MALICIOUS_LOLBIN_ABUSE.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el event_id del proceso malicioso en process_tree_lolbins?

Ver pista de ayuda

Observa el valor en la primera columna de la primera fila de process_tree_lolbins.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Linaje y LOLBins · Windows Sysmon Telemetry

Sysmon Event ID 1 & 3 LOLBin Correlation Engine

Tablas

process_tree_lolbins

event_id
parent_image
image
command_line
user
integrity_level
verdict

network_lolbins

process_name
destination_ip
destination_port
is_signed
signer

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Living off the Land (LotL) y evasión de firmas

2 Identificador de evento en process_tree_lolbins Lab

Whoami-Labs Pro utiliza cookies