Ejecución en el endpoint y monitoreo de eventos de proceso

3 tareas · 38 min · Principiante

Cuando el usuario interactúa con el señuelo y monta el contenedor, se inicia la fase crítica de ejecución local. El operador debe verificar que la cadena de procesos iniciada por el usuario se mantenga dentro de los parámetros previstos y no dispare alertas de comportamiento anómalo en el EDR.

0 de 3 · 0%

Objetivo de la sala

Abre plan_operativo_simulacro.txt en la consola del laboratorio con el entorno rt-simulacro1-guia.

En los sistemas Windows modernos, hacer doble clic en una imagen de disco virtual provoca que el explorador de archivos monte el volumen como una unidad de disco local independiente sin requerir permisos de administrador.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué comportamiento del explorador de Windows facilita el acceso del usuario al contenido del contenedor ISO?

Monta automáticamente la imagen como una unidad lógica de disco local sin solicitar permisos de elevación administrativa Borra las contraseñas guardadas en los navegadores Desconecta temporalmente el firewall del endpoint

Ver pista de ayuda

El soporte nativo de imágenes ISO en Windows permite al usuario explorar el contenido de forma transparente.

Revisa los parámetros de evasión en plan_operativo_simulacro.txt.

El pretexto operativo fue diseñado para alinearse con los procesos de facturación habituales del departamento de finanzas, utilizando un nombre creíble para el archivo descargado.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según plan_operativo_simulacro.txt, ¿cuál es el nombre del archivo del contenedor señuelo en formato ISO? Escribe el nombre completo con su extensión.

Ver pista de ayuda

Consulta la primera viñeta bajo parámetros de evasión en plan_operativo_simulacro.txt.

Durante la ejecución del acceso directo dentro del contenedor, el proceso padre registrado es explorer.exe.

Al no invocar consolas de comandos visibles ni motores de scripting no autorizados, la telemetría de creación de procesos (Event ID 1 de Sysmon) refleja una interacción interactiva normal de usuario, sin generar banderas rojas en la consola de supervisión defensiva.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué la creación de procesos en este escenario no activa las alertas del equipo de monitoreo?

Porque el archivo ISO oculta la dirección IP de la computadora Porque la ejecución nace directamente desde el explorador interactivo del usuario sin involucrar árboles de procesos anómalos Porque el antivirus de Windows se desactiva al abrir imágenes ISO

Ver pista de ayuda

La invocación directa desde el explorador mantiene una relación de paternidad coherente con el uso normal del equipo.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: drill-lead.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 El proceso de montaje en el explorador Lab

2 El nombre del archivo señuelo en el plan Lab

3 Vigilancia de la genealogía de procesos Lab

Whoami-Labs Pro utiliza cookies