Utilidades de Windows de doble filo: certutil, msiexec, rundll32

3 tareas · 38 min · Principiante

Determinadas utilidades administrativas de Windows incorporan funcionalidades tan versátiles que permiten transferir archivos por la red, descifrar cadenas o ejecutar librerías dinámicas sin levantar sospechas inmediatas si no se audita exhaustivamente la línea de comandos.

0 de 3 · 0%

Objetivo de la sala

Abre catalogo_lolbins_windows.txt en la consola del laboratorio con el entorno rt-lolbins-guia.

Diseñado originariamente para gestionar certificados y listas de revocación, certutil.exe incluye opciones para consultar direcciones web y almacenar respuestas en caché local, así como algoritmos de decodificación en Base64 que los operadores aprovechan como descargador encubierto.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué funcionalidad secundaria de certutil.exe es aprovechada habitualmente en operaciones de Living off the Land?

La sincronización del calendario de la empresa La reproducción de contenidos multimedia protegidos La descarga de archivos remotos a través de HTTP/HTTPS y la decodificación de ficheros en Base64

Ver pista de ayuda

Los parámetros de gestión de caché y decodificación permiten utilizar esta utilidad como cliente de descarga.

Revisa el apartado 1 en catalogo_lolbins_windows.txt.

Para obligar a la herramienta a consultar un servidor remoto y depositar el contenido en un archivo de destino saltándose la caché preexistente, se encadenan modificadores específicos en la llamada de consola.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según catalogo_lolbins_windows.txt, ¿qué parámetros específicos se combinan en certutil.exe para forzar la descarga remota de archivos? Escribe la secuencia exacta de argumentos con sus guiones.

Ver pista de ayuda

Consulta el segundo guion bajo el punto 1 en catalogo_lolbins_windows.txt.

La utilidad msiexec.exe permite instalar paquetes de instalación remotos de forma totalmente desatendida mediante modificadores de modo silencioso, mientras que rundll32.exe puede invocar rutinas exportadas dentro de librerías DLL o interactuar con el motor HTML del sistema para ejecutar código script.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué la ejecución de paquetes MSI remotos con msiexec.exe suele eludir filtros perimetrales?

Porque no requiere que el sistema tenga procesador de 64 bits Porque msiexec apaga el enrutador de la red local Porque msiexec.exe es un binario legítimo del sistema que procesa instalaciones firmadas o paquetes corporativos

Ver pista de ayuda

El instalador nativo es una utilidad de máxima confianza que las organizaciones usan habitualmente para desplegar software.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: lolbins-lab.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 certutil.exe como canal de descarga y decodificación Lab

2 Los parámetros de descarga en certutil Lab

3 Ejecución encubierta con msiexec y rundll32 Lab

Whoami-Labs Pro utiliza cookies