Exfiltración encubierta sobre HTTPS simulando tráfico de API normal

3 tareas · 35 min · Principiante

Mimetizar el tráfico de exfiltración como llamadas legítimas a APIs REST con cargas cifradas y comprimidas dificulta su detección en proxies de inspección.

0 de 3 · 0%

Objetivo de la sala

Mimetizar el tráfico de exfiltración como llamadas legítimas a APIs REST con cargas cifradas y comprimidas dificulta su detección en proxies de inspección.

Consulta exfiltracion_https_api.txt en el entorno rt-exfiltracion-encubierta-guia. Localiza el algoritmo de cifrado.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cuál es la constante del algoritmo de cifrado para payloads salientes?

Ver pista de ayuda

Busca la línea Algoritmo de Cifrado de Carga Saliente.

Examina en exfiltracion_https_api.txt el formato de cuerpo de petición utilizado para simular flujos normales de aplicación.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué identificador define el formato de telemetría en HTTP POST?

Ver pista de ayuda

Observa la última línea del archivo.

Analiza qué ventaja aporta cifrar la información antes de transmitirla por la sesión HTTPS.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué el cifrado de aplicación previo al HTTPS protege el canal si el cliente utiliza proxies de desencriptación SSL?

Porque aunque el proxy intercepte y abra el túnel TLS, el cuerpo de la petición sigue siendo texto cifrado ilegible para las reglas de inspección DLP Porque convierte el certificado digital del proxy en un archivo temporal no ejecutable Porque obliga al navegador del usuario a actualizarse a la última versión disponible Porque rompe la conexión TCP e impide que el proxy capture los encabezados HTTP

Ver pista de ayuda

El proxy solo ve bytes cifrados con AES, impidiendo que el DLP reconozca patrones de contenido.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: exfiltration-triage.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Algoritmo de cifrado de carga saliente Lab

2 Formato de encapsulación de telemetría Lab

3 Estrategia contra la inspección SSL/TLS del proxy corporativo Lab

Whoami-Labs Pro utiliza cookies