Telemetría generada cuando se manipula AmsiScanBuffer

3 tareas · 38 min · Principiante

Parchear en memoria la función encargada del escaneo fue durante años una técnica habitual para neutralizar la inspección de scripts. Sin embargo, los sensores EDR modernos vigilan las llamadas de protección de memoria sobre módulos del sistema, convirtiendo el intento de parcheo en una firma de detección inmediata.

0 de 3 · 0%

Objetivo de la sala

Abre ciclo_amsi_y_parcheo.txt en la consola del laboratorio con el entorno rt-amsi-memoria-guia.

Para evitar que el motor evalúe el contenido del script, los artefactos intentan sobreescribir las primeras instrucciones de la función de evaluación, forzando un retorno inmediato que simule que el escaneo fue exitoso o que el servicio no se encuentra disponible.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué objetivo busca un atacante al modificar las instrucciones iniciales de la función de escaneo en memoria?

Aumentar el tamaño del búfer de la consola Cambiar el idioma de los mensajes de error de la terminal Forzar que la función retorne un resultado favorable sin llegar a inspeccionar el contenido real del script

Ver pista de ayuda

El parche modifica el prólogo para abortar el análisis y devolver un código de éxito ficticio.

Revisa el apartado sobre telemetría de manipulación de memoria en ciclo_amsi_y_parcheo.txt.

Las páginas de memoria que alojan el código ejecutable de las librerías dinámicas se cargan originalmente con permisos de solo lectura y ejecución. Para que un proceso pueda escribir bytes en esa región, debe solicitar formalmente un cambio en los atributos de protección de memoria virtual.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según ciclo_amsi_y_parcheo.txt, ¿qué función de la API de Windows se debe invocar para modificar los permisos de memoria de solo lectura a escritura?

Ver pista de ayuda

Consulta el segundo guion bajo telemetría de manipulación en ciclo_amsi_y_parcheo.txt.

Los agentes EDR interceptan las solicitudes de cambio de protección de memoria. Si detectan que un proceso intenta habilitar permisos de escritura sobre una sección de código perteneciente a una librería de seguridad del sistema, clasifican el evento como intento de manipulación maliciosa de memoria (Memory Tampering).

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cómo interpreta el agente EDR una solicitud de permisos de escritura (RWX) sobre una librería de seguridad del sistema?

Como una solicitud de impresión de documentos Como una operación normal de mantenimiento del sistema operativo Como una acción maliciosa de evasión o inyección de memoria que amerita la terminación del proceso

Ver pista de ayuda

Modificar en caliente las secciones ejecutables de módulos del sistema es una anomalía crítica de seguridad.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: memory-telemetry.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 El mecanismo de parcheo en memoria Lab

2 La API que expone la modificación Lab

3 La respuesta defensiva ante alteraciones de módulos Lab

Whoami-Labs Pro utiliza cookies