Dónde mira el EDR cuando un proceso abre a otro con OpenProcess

Abre mecanica_inyeccion_procesos.txt en la consola del laboratorio con el entorno rt-inyeccion-edr-guia.

El modelo de seguridad de Windows aísla el espacio de memoria virtual de cada proceso. Para que una aplicación pueda leer o escribir en la memoria de otra, debe solicitar explícitamente un manejador al kernel especificando la máscara de acceso deseada.

Revisa la cadena clásica de inyección remota en mecanica_inyeccion_procesos.txt.

Una vez obtenido el manejador hacia el proceso objetivo, el cargador ofensivo debe destinar una región de memoria en el espacio del proceso ajeno para alojar las instrucciones de la carga útil antes de escribir los bytes en ella.

Los desarrolladores de herramientas automatizadas suelen solicitar la máscara de privilegios máximos PROCESS_ALL_ACCESS (0x1FFFFF).

Para un analista defensivo o una regla analítica de SIEM, un proceso que no pertenece a herramientas de depuración solicitando permisos totales sobre otro proceso (especialmente procesos del sistema como lsass.exe o svchost.exe) es una señal inequívoca de intento de inyección o extracción forzada.