Uso de comandos nativos de Windows (net, dsquery, nltest) y sus alarmas

3 tareas · 35 min · Principiante

Ejecutar utilidades nativas como net.exe, nltest.exe o dsquery.exe desde la línea de comandos genera eventos Process Create (Sysmon ID 1 y Windows ID 4688). Los sensores de EDR identifican de forma inmediata las cadenas típicas de enumeración.

0 de 3 · 0%

Objetivo de la sala

Consulta comandos_nativos_alarmas.txt en rt-enum-interna-opsec-guia. Anota el nombre de la llamada Win32 API recomendada.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según comandos_nativos_alarmas.txt, ¿cuál es la Llamada API Nativa de Reemplazo documentada?

Ver pista de ayuda

Revisa la penúltima línea del archivo.

Examina la última línea de comandos_nativos_alarmas.txt para anotar el nombre de la regla EDR.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según comandos_nativos_alarmas.txt, ¿cuál es el nombre de la Regla EDR Monitoreada?

Ver pista de ayuda

Localiza la última línea del archivo.

Analiza por qué invocar APIs de Win32 directamente en el proceso de la baliza elude las alertas de creación de procesos.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué llamar a funciones como NetUserGetInfo en memoria es más discreto que ejecutar net.exe en consola?

Porque desactiva la tarjeta de red del sistema Porque las APIs de Win32 no requieren conexión de red Porque modifica el kernel de Windows temporalmente Porque no genera nuevos procesos secundarios cmd.exe ni deja argumentos registrados en la telemetría de procesos

Ver pista de ayuda

Al ejecutar la consulta dentro del hilo existente, no se dispara el Event ID 4688 de creación de proceso.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: opsec-enum.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Llamada API nativa de reemplazo Lab

2 Regla de EDR supervisada Lab

3 Ventaja de consultar APIs directamente en memoria Lab

Whoami-Labs Pro utiliza cookies