Mitigaciones defensivas contra persistencias de usuario

3 tareas · 35 min · Principiante

Las organizaciones fortifican el espacio de usuario aplicando políticas de restricción de ejecución en AppData y restringiendo la creación de claves en HKCU. Conocer estas medidas defensivas permite al Red Team identificar qué controles se encuentran activos en el cliente.

0 de 3 · 0%

Objetivo de la sala

Consulta mitigaciones_persistencias_usuario.txt en el entorno rt-runkeys-com-guia y localiza el control preventivo recomendado.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según mitigaciones_persistencias_usuario.txt, ¿cuál es el Control Preventivo Recomendado?

Ver pista de ayuda

Revisa la última línea del archivo.

Revisa qué herramientas nativas corporativas de Windows se utilizan para impedir que scripts o binarios corran desde carpetas de usuario.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué mecanismos nativos de Windows permiten bloquear la ejecución de código no autorizado en carpetas AppData?

Internet Information Services (IIS) Windows Media Player Sharing Engine AppLocker y Windows Defender Application Control (WDAC) Remote Desktop Gateway

Ver pista de ayuda

Las directivas de control de aplicaciones como AppLocker o WDAC bloquean la ejecución por rutas de usuario.

Analiza qué política mitiga específicamente la técnica de COM Hijacking en estaciones de trabajo corporativas.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué acción de endurecimiento neutraliza la técnica de COM Hijacking en el perfil del usuario?

Restringir permisos de escritura de usuarios estándar sobre HKCU/Software/Classes/CLSID Eliminar todas las conexiones de red de la estación Desinstalar el explorador de archivos de Windows Desactivar el teclado y ratón durante el inicio

Ver pista de ayuda

Al limitar la escritura en la subclave Classes del usuario, se impide registrar servidores InprocServer32 fraudulentos.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: workstation-hkcu.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Control preventivo de línea base Lab

2 Tecnología para bloquear ejecución en AppData Lab

3 Restricción sobre el árbol de clases COM Lab

Whoami-Labs Pro utiliza cookies