Escenario: Analizar un bloque de script registrado en el Event ID 4104 y determinar su función

3 tareas · 38 min · Principiante

El centro de operaciones de seguridad (SOC) del cliente detectó una alerta crítica generada por la auditoría centralizada de scripts en una estación de desarrollo. Como especialista del Red Team, debes inspeccionar la exportación del evento 4104 y el informe del SIEM para desglosar la funcionalidad técnica del código capturado.

0 de 3 · 0%

Objetivo de la sala

Abre informe_auditoria_powershell.txt y event_4104_scriptblock_export.txt en la consola del laboratorio con el entorno rt-scripts-firmas-escenario.

Examina el contenido del bloque de código capturado en el registro de auditoría. Localiza la dirección IP de destino con la que el script intentaba establecer una sesión de comunicación externa.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según event_4104_scriptblock_export.txt, ¿a qué dirección IP externa intenta conectarse el objeto TCPClient en el bloque ScriptBlockText?

Revisa los parámetros del constructor del cliente de red en event_4104_scriptblock_export.txt.

El script interactúa con sockets de red nativos de .NET para canalizar una consola remota interactiva. Identifica el puerto de destino numérico configurado en la conexión saliente.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según event_4104_scriptblock_export.txt, ¿qué número de puerto de destino se pasa como segundo parámetro al constructor de TCPClient?

Inspecciona el informe de triaje del incidente en informe_auditoria_powershell.txt.

El motor de reglas del SIEM procesó el bloque de script desofuscado y lo contrastó con patrones de comportamiento ofensivo conocidos. Localiza el identificador de la regla analítica que disparó la alarma crítica.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según informe_auditoria_powershell.txt, ¿qué regla de detección fue disparada en el SIEM corporativo? Escribe el valor exacto del campo Regla disparada.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: siem-analyst.solvex.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Dirección de red de mando en el script bloqueado Lab

2 Puerto de escucha del canal reverso Lab

3 La regla analítica que delató la técnica Lab

Whoami-Labs Pro utiliza cookies