La diferencia entre detección de un artefacto y descubrimiento de la campaña

3 tareas · 35 min · Principiante

La quema de un script secundario en un endpoint no implica que la campaña completa haya sido descubierta; el operador debe evaluar con calma la visibilidad real del adversario.

0 de 3 · 0%

Objetivo de la sala

La quema de un script secundario en un endpoint no implica que la campaña completa haya sido descubierta; el operador debe evaluar con calma la visibilidad real del adversario.

Abre diferencia_artefacto_campana.txt en rt-respuesta-deteccion-guia. Localiza el evento local.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cuál es la constante del evento de detección local de componente citado?

Ver pista de ayuda

Busca la línea Detección Local de Componente Aislado.

Localiza en diferencia_artefacto_campana.txt la situación en la que todos los canales y servidores han sido quemados.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué identificador define la quema global de la campaña documentada?

Ver pista de ayuda

Observa la última línea del archivo.

Analiza qué debe hacer el operador si Windows Defender bloquea un script auxiliar en un equipo donde ya tiene otra persistencia.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cómo debe actuar el operador si un script secundario es bloqueado por el antivirus en una máquina?

Suspender la ejecución de ese script, registrar la alerta y continuar a través de otros canales si la baliza principal no fue afectada Lanzar de inmediato cientos de variantes del mismo script para saturar al antivirus Enviar un correo electrónico a los usuarios disculpándose por la alerta Borrar el sistema operativo de la máquina víctima para que no queden registros del archivo

Ver pista de ayuda

Mantener la calma y reevaluar la técnica evita quemar accesos adicionales innecesariamente.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: detection-response-triage.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Detección local de componente aislado Lab

2 Compromiso total de infraestructura C2 Lab

3 Criterio táctico ante una alerta menor de antivirus Lab

Whoami-Labs Pro utiliza cookies