Escenario: Identificar en un registro de auditoría qué comando utilizó una utilidad nativa de forma anómala

Abre informe_auditoria_comandos.txt y security_process_command_log.txt en la consola del laboratorio con el entorno rt-lolbins-escenario.

Examina los comandos ejecutados en la secuencia de auditoría. Localiza la dirección web externa desde la cual la utilidad de certificados descargó el archivo de configuración preliminar.

Revisa los argumentos de la Entrada 503 en security_process_command_log.txt.

Inmediatamente tras la descarga, se invocó la misma utilidad nativa con el parámetro de decodificación para transformar el archivo descargado en una biblioteca dinámica utilizable. Identifica el nombre del archivo DLL resultante.

Inspecciona la última acción de la secuencia en la Entrada 504 de security_process_command_log.txt.

El operador recurrió a la utilidad ejecutora de DLLs de Windows para transferir el control a la función de inicio de la carga útil. Identifica el nombre de la rutina exportada que se pasó como argumento.