Diferencias de visibilidad entre WMI y ejecución interactiva

3 tareas · 35 min · Principiante

A diferencia del acceso por Escritorio Remoto (RDP), WMI ejecuta comandos en una sesión no interactiva (Sesión 0) sin cargar interfaces gráficas ni perfiles completos de usuario. Sin embargo, la creación de procesos hijos bajo WmiPrvSE.exe es una firma altamente alertada por reglas de detección.

0 de 3 · 0%

Objetivo de la sala

Abre visibilidad_wmi_vs_interactivo.txt en rt-movimiento-wmi-winrm-guia y anota el nombre de la regla Sigma.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según visibilidad_wmi_vs_interactivo.txt, ¿cuál es la Regla Sigma de Referencia?

Ver pista de ayuda

Revisa la penúltima línea del archivo.

Consulta la última línea de visibilidad_wmi_vs_interactivo.txt para anotar la etiqueta heurística.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según visibilidad_wmi_vs_interactivo.txt, ¿cuál es la Etiqueta de Detección Heurística documentada?

Ver pista de ayuda

Localiza la última línea del documento.

Identifica en qué contexto de sesión de Windows corren los procesos iniciados de forma desasistida mediante WMI.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿En qué sesión del sistema operativo se ejecutan los comandos remotos invocados por WmiPrvSE.exe?

En la memoria de video de la tarjeta gráfica En la Sesión 0 (sesión aislada no interactiva reservada a servicios del sistema) En una sesión de invitado temporal en la nube En la Sesión 1 interactiva del usuario que tiene la pantalla encendida

Ver pista de ayuda

La Sesión 0 no interactiva aísla procesos de fondo de la interfaz gráfica del usuario.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: lateral-triage.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Nombre de la regla Sigma de detección Lab

2 Etiqueta de detección heurística Lab

3 Sesión de Windows donde corre la ejecución WMI Lab

Whoami-Labs Pro utiliza cookies