Telemetría de creación de procesos y parent-child relationship

Abre estructura_pe_y_loaders.txt en la consola del laboratorio con el entorno rt-loaders-firmas-guia.

Los sistemas EDR y los analizadores SIEM construyen árboles de procesos donde cada ejecución hija se asocia al identificador del proceso creador. Un proceso cmd.exe o powershell.exe engendrado por winword.exe o excel.exe es un indicador directo de compromiso.

Revisa el apartado sobre la Import Address Table en estructura_pe_y_loaders.txt.

Para impedir que las firmas de paternidad o las llamadas al sistema delaten las intenciones del cargador, los operadores recurren a mecanismos que cargan módulos y resuelven direcciones de funciones sobre la marcha sin declararlas de forma estática en las cabeceras.

Para enmascarar la relación de paternidad anómala, los operadores utilizan la técnica de PPID Spoofing mediante la API UpdateProcThreadAttribute.

Al iniciar un nuevo proceso y asignar como padre explícito a un proceso de sistema preexistente de confianza (como explorer.exe o services.exe), la telemetría de eventos de Windows (Sysmon ID 1) refleja al proceso legítimo como creador del hijo, ocultando el origen real del ejecutable.