Diagnóstico de evasión en endpoint y llamadas al sistema

3 tareas · 20 min · Principiante

Diagnostica técnicas de evasión de sensores EDR: llamadas al sistema indirectas (Halo's Gate) y asignación de memoria transitoria no ejecutable.

0 de 3 · 0%

Objetivo de la sala

Diagnostica técnicas de evasión de sensores EDR: llamadas al sistema indirectas (Halo's Gate) y asignación de memoria transitoria no ejecutable.

Para evadir ganchos de inspección en modo usuario instalados por agentes de seguridad en ntdll.dll, el código ofensivo utiliza llamadas al sistema desvinculadas.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Indica el mecanismo de invocación documentado en diagnostico_evasion_endpoint.txt.

Ver pista de ayuda

Consulta diagnostico_evasion_endpoint.txt en el directorio de evasión.

Los escáneres de memoria EDR alertan de inmediato ante páginas marcadas permanentemente como RWX (Lectura, Escritura y Ejecución simultáneas).

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Extrae la técnica de protección de memoria registrada en el informe.

Ver pista de ayuda

Revisa la última línea de diagnostico_evasion_endpoint.txt.

¿Cómo puede un EDR moderno detectar llamadas al sistema directas o indirectas a pesar de que sus ganchos en ntdll hayan sido evadidos?

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Determina la tecnología de telemetría a nivel de kernel utilizada para detectar llamadas anómalas.

Verificando si la computadora tiene instalada una impresora de red Escaneando los archivos temporales del navegador Chrome Mediante eventos de instrumentación de kernel (ETW-Threat Intelligence) y análisis forense de la pila de llamadas (Call Stack Spoofing detection) Midiendo la velocidad de los ventiladores de la tarjeta madre

Ver pista de ayuda

ETW-TI en el kernel y el análisis del Call Stack descubren llamadas que saltan APIs estándar.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: exam1-evasion.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Invocación Indirecta al Kernel Lab

2 Protección de Páginas de Memoria Lab

3 Detección Defensiva de Llamadas al Kernel Lab

Whoami-Labs Pro utiliza cookies