Árbol de procesos: leer relaciones

5 tareas · 40 min · Principiante

El árbol de procesos es la parte del informe que mejor sirve para detectar, porque dice quién lanzó a quién, y esa relación cuesta más cambiarla que un nombre de archivo. El equipo de inteligencia de la Cooperativa Chiscas tiene los árboles de dos muestras distintas de la misma familia ficticia, Copetón: una del servicio que contrata y otra que llegó de la mesa del sector. Se reconstruye cada cadena, se separa lo que pertenece a la muestra de lo que hace el sistema y se busca la relación que se repite. Todo son tablas ya escritas; no se ejecuta nada.

0 de 5 · 0%

Objetivo de la sala

Cada fila de un árbol tiene el identificador del proceso (pid) y el de su padre (ppid). La cadena de la muestra se reconstruye siguiendo esa columna: un proceso pertenece a la cadena si su padre está en ella. El orden en el tiempo no sirve para eso. Durante la ejecución, el sistema sigue haciendo su trabajo (indexar archivos, atender WMI, actualizar), y esos procesos aparecen intercalados con los de la muestra.

Consulta SELECT * FROM procesos_rc4011 y localiza el proceso que arranca a los 37 segundos.

Responde para continuar

SearchProtocolHost.exe arranca a los 37 segundos, después de la muestra. ¿Qué se puede decir de él?

Que lo lanzó la muestra, porque aparece después de que rundll32.exe se pusiera en marcha en el equipo Que no es de la cadena de la muestra: su padre es el 640, un servicio que no está en ella Que es parte de la persistencia, porque arranca después de crear la tarea programada

Ver pista de ayuda

Sigue su columna ppid y mira si ese número aparece en la cadena que empieza en wscript.exe.

En RC-4011 la muestra es un guion. El intérprete de guiones lanza una consola de PowerShell, y de ahí sale el resto. Para una detección no basta con saber que hubo un rundll32.exe: es un programa del sistema que se usa a diario. Lo que lo hace notable es su padre y la carpeta de la que carga la biblioteca.

Vuelve a la tabla completa y busca la fila de rundll32.exe: su línea de comando dice qué biblioteca carga y desde dónde, y su columna ppid dice quién lo lanzó.

Responde para continuar

¿Cuál es el PID del proceso que lanza rundll32.exe en RC-4011? Escribe solo el número.

Ver pista de ayuda

Lee la columna ppid en la fila de rundll32.exe.

Una familia no siempre llega en el mismo envoltorio. La mesa del sector analizó otra muestra que agrupa con la de Chiscas, y su árbol empieza de otra forma. Consulta SELECT * FROM procesos_rc4013 y sigue la cadena desde explorer.exe.

Si la nota de detección se basara en el primer eslabón de RC-4011, esta segunda muestra pasaría sin ruido.

Responde para continuar

En RC-4013, ¿qué programa del sistema abre la muestra y lanza powershell.exe? Escribe su nombre tal como aparece.

Ver pista de ayuda

Es el hijo directo de explorer.exe y el padre de powershell.exe.

Comparar dos árboles de la misma familia sirve para separar lo que es de la muestra de hoy de lo que es de la familia. El nombre del guion, el nombre de la biblioteca y la forma de entrada cambian; algunas relaciones entre procesos y algunas carpetas se repiten. Lo que se repite es candidato a detección; lo que cambia va, como mucho, a un anexo con fecha.

Responde para continuar

¿Qué relación padre → hijo aparece en los dos árboles y sirve de base para detectar a la familia?

powershell.exe → rundll32.exe, que carga una DLL escrita en AppData\Roaming El programa que abre la muestra → powershell.exe, porque es la entrada de la familia explorer.exe → el intérprete del guion, que es como se abre todo adjunto

Ver pista de ayuda

Busca una pareja de procesos que esté en procesos_rc4011 y en procesos_rc4013 a la vez.

En RC-4011 la persistencia es una tarea programada que crea schtasks.exe. En RC-4013 no hay tarea: la persistencia la escribe otro programa del sistema, también hijo de PowerShell. Para la nota de detección esto importa: la familia tiene al menos dos formas de quedarse, y una alerta que solo vigile las tareas programadas cubre una de ellas.

Responde para continuar

En RC-4013, ¿qué programa del sistema escribe la persistencia? Escribe su nombre tal como aparece.

Ver pista de ayuda

Es hijo de powershell.exe y su línea de comando nombra la clave Run.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que va después no va por debajo Lab

2 Quién carga la DLL Lab

3 Otra puerta de entrada Lab

4 La relación que se repite Lab

5 Dos formas de quedarse Lab

Whoami-Labs Pro utiliza cookies