Firmas en memoria y scanners YARA en vivo

3 tareas · 38 min · Principiante

Inyectar código y ejecutarlo con éxito en un proceso no es el final de la partida: los agentes EDR modernos realizan barridos periódicos sobre el espacio de memoria virtual de los procesos en ejecución, aplicando reglas de coincidencia de patrones para identificar balizas y herramientas de mando en reposo.

0 de 3 · 0%

Objetivo de la sala

Abre yara_en_memoria_y_ntdll.txt en la consola del laboratorio con el entorno rt-amsi-memoria-guia.

Los sensores de memoria no analizan continuamente todos los gigabytes de memoria del sistema debido al coste de rendimiento. En su lugar, monitorizan páginas sospechosas: regiones con permisos de ejecución que no corresponden a archivos binarios legítimos mapeados en disco.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué criterio utilizan los sensores de memoria en vivo para priorizar qué páginas escanear?

Se enfocan en regiones de memoria privadas o dinámicas con permisos de ejecución que no están respaldadas por módulos en disco Inspeccionan la papelera de reciclaje de Windows Escanean únicamente los fondos de pantalla y archivos de audio

Ver pista de ayuda

Las páginas de memoria ejecutable anónima (unbacked executable memory) son el foco primordial de escaneo.

Revisa el apartado 1 en yara_en_memoria_y_ntdll.txt.

Cuando el sensor examina una región de memoria sospechosa, busca secuencias de bytes y cadenas características asociadas a implantes ofensivos ampliamente documentados.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según yara_en_memoria_y_ntdll.txt, ¿qué tipo de reglas aplican los motores EDR en memoria para buscar firmas de balizas C2 conocidas? Escribe únicamente las dos palabras correspondientes al tipo de regla.

Ver pista de ayuda

Consulta el segundo guion bajo el punto 1 en yara_en_memoria_y_ntdll.txt.

Para evitar ser cazados por escáneres en memoria mientras la baliza espera su siguiente conexión periódica (beacon interval), los implantes modernos implementan técnicas de máscara de sueño (Sleep Obfuscation).

Antes de entrar en estado de reposo, el agente cifra todo su espacio de memoria en ejecución y cambia los permisos de la página a solo lectura o lectura/escritura (RW), descifrándose únicamente durante los microsegundos en que despierta para comunicarse con el servidor C2.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cómo neutraliza la técnica de Sleep Mask los escaneos de memoria en vivo?

Apaga la pantalla del usuario mientras duerme Cifra la carga útil en memoria y retira temporalmente los permisos de ejecución durante los periodos de reposo Oculta el cable de red de la estación de trabajo

Ver pista de ayuda

Al cifrar el código y retirar los atributos ejecutables en reposo, el escáner no encuentra firmas ni código activo.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: memory-telemetry.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Barridos periódicos y disparadores de escaneo Lab

2 Aplicación de patrones de coincidencia en caliente Lab

3 Evasión mediante técnicas de Sleep Mask Lab

Whoami-Labs Pro utiliza cookies