ETW y telemetría de eventos de script (Event ID 4104)

3 tareas · 38 min · Principiante

Incluso si un operador consigue silenciar el bloqueo en tiempo real de AMSI, Windows cuenta con mecanismos de auditoría independientes que capturan el código ejecutado. El registro de bloques de scripts (Script Block Logging) emite telemetría a través de ETW que viaja directamente a los colectores del SIEM.

0 de 3 · 0%

Objetivo de la sala

Abre integridad_codigo_y_etw.txt en la consola del laboratorio con el entorno rt-amsi-memoria-guia.

Introducido en PowerShell v5, el registro de bloques de scripts captura el código completo de cada bloque evaluado, desarmando cualquier capa previa de ofuscación sintáctica o decodificación en memoria para archivarlo en el registro de eventos de Windows.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué contenido específico registra el Event ID 4104 en la auditoría de PowerShell?

El tiempo que el usuario tardó en presionar la tecla Enter El código completo del bloque de script tal como se pasa al motor para su ejecución La marca y modelo de la tarjeta madre del equipo

Ver pista de ayuda

El evento 4104 almacena el contenido íntegro del script que el motor procesó.

Revisa el segundo guion en integridad_codigo_y_etw.txt.

Los eventos generados por el motor de scripting se canalizan a través de un registro especializado dentro del subsistema de aplicaciones y servicios de Windows, accesible para los agentes de recopilación de logs del cliente.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según integridad_codigo_y_etw.txt, ¿hacia qué canal de eventos específico emite PowerShell el contenido del bloque de script mediante ETW?

Ver pista de ayuda

Consulta el segundo guion bajo persistencia de la telemetría en integridad_codigo_y_etw.txt.

Muchos operadores novatos celebran haber parcheado AMSI porque su comando no fue bloqueado en la terminal interactiva.

Sin embargo, si la política de auditoría de scripts está activada en el dominio (Group Policy), el comando íntegro ya fue enviado al SIEM corporativo. Los analistas del SOC pueden cazar la técnica minutos u horas más tarde mediante consultas automáticas sobre el Event ID 4104.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué tener éxito al silenciar el bloqueo antivirus en vivo no garantiza el sigilo operativo si Script Block Logging está activo?

Porque el contenido del script ya viajó al SIEM mediante el Event ID 4104, permitiendo detección e investigación retrospectiva Porque la pantalla del usuario parpadea en color amarillo Porque el procesador consume el triple de energía al ejecutar scripts

Ver pista de ayuda

La evasión del bloqueo interactivo no elimina la telemetría archivada en los eventos centrales.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: memory-telemetry.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 El mecanismo de Script Block Logging Lab

2 El canal oficial de auditoría en el visor de eventos Lab

3 La paradoja de evadir en memoria pero quedar registrado Lab

Whoami-Labs Pro utiliza cookies