🖥️ Preparación — Conexión al laboratorio

• RDP a: 10.129.62.95 (ACADEMY-SFUND-WIN10)

• Usuario: Administrator

• Contraseña: HTB_@cad3my_lab_W1n10_r00t!@0

• Abre PowerShell como Administrador en la máquina objetivo.

🖥️ Laboratorio — DLL Hijacking

🎯 Objetivo

C:\Logs\DLLHijack

Características de un ataque real:

• 🚨 Proceso ejecutándose desde ubicación inusual

• 📂 DLL cargada desde ruta sospechosa (Temp, AppData, ProgramData)

• 🔒 DLL sin firma digital (Signed: false)

• 📝 Metadatos genéricos/falsos

.\chainsaw_x86_64-pc-windows-msvc.exe hunt "C:\Logs\DLLHijack\DLLHijack.evtx" --sigma .\possible_windows_dll_hijacking.yml --mapping .\mappings\sigma-event-logs-all.yml

⚠️ Limitación de Chainsaw

Comando inicial:

.\chainsaw_x86_64-pc-windows-msvc.exe hunt "C:\Logs\DLLHijack\DLLHijack.evtx" --sigma .\possible_windows_dll_hijacking.yml --mapping .\mappings\sigma-event-logs-all.yml

Solución:

• ⚡ Usar PowerShell con filtros manuales

• ✍ Crear reglas Sigma personalizadas
  

🔍 Metodología efectiva

1️⃣ Buscar eventos ID 7 (DLL cargada

Get-WinEvent -Path "C:\Logs\DLLHijack\DLLHijack.evtx" | Where-Object { $_.Id -eq 7 }

2️⃣ Filtrar DLLs sin firma

Get-WinEvent -FilterHashtable @{Path='C:\Logs\DLLHijack\DLLHijack.evtx'; ID=7} | Select-Object TimeCreated, ID, ProviderName, LevelDisplayName, Message | Where-Object {$_.Message -match 'Signed: false'}

Resultado:

📝 Indicadores de Compromiso (IOCs)

💡 Tips extra

• 🔍 Revisar siempre la ruta de ejecución y la firma digital de las DLLs

• 🛡️ Combinar filtros por ID de evento, propiedades XML, y rutas inusuales para detectar ataques no cubiertos por reglas genéricas

🧩 Laboratorio 2 — Detección de PowerShell No Administrado (.NET Injection)

🎯 Objetivo

🔬 Metodología

1️⃣ Analizar eventos de carga de DLL (clr.dll, clrjit.dll)

🧠 Análisis

1. 🧮 Calculator.exe → aplicación UWP (Windows Store App)

2. 🚫 Normalmente no carga clr.dll

3. ⚔️ Indica inyección de código .NET/PowerShell dentro de la Calculadora

🧾 Conclusión

🧪 Laboratorio 3 — Inyección que ejecutó PowerShell no gestionado

🔎 Método 1 — Filtrado con PowerShell (Sysmon Event ID 8)

Get-WinEvent -Path 'C:\Logs\PowershellExec\*' | Where-Object{$_.ID -like "8"} | Where-Object{$_.Message -like "*Calculator.exe*"} | Select-Object TimeCreated, ID, ProviderName, LevelDisplayName, Message

🔎 Método 2 — Filtrado visual / manual en el visor de eventos

1. Abrir Event Viewer en la máquina donde se almacenan los logs (C:\Logs\PowershellExec\).

2. Ir a Applications and Services Logs → Microsoft → Windows → Sysmon → Operational.

3. Aplicar filtro por Event ID = 8 (CreateRemoteThread).

4. Buscar visualmente en la columna Message procesos inusuales que creen hilos remotos hacia Calculator.exe.

🧾 Extracto relevante del log (resumen)

• Evento: CreateRemoteThread (Sysmon ID 8)

• Fuente (SourceImage): C:\Windows\System32\rundll32.exe (SourceProcessId: 8364)

• Objetivo (TargetImage): Calculator.exe (TargetProcessId: 3776)

• Timestamps: 2022-04-28 01:59:42.176 y 2022-04-28 02:00:13.593 (dos inyecciones en el mismo proceso)

• Usuario: DESKTOP-R4PEEIF\waldo

🔍 Análisis clave

• 🧩 El proceso rundll32.exe (ubicado en C:\Windows\System32\rundll32.exe) creó hilos remotos dentro de Calculator.exe.

• ⚠️ Esto es comportamiento típico de inyección de código (CreateRemoteThread).

• 🔎 Correlacionando con la detección previa de clr.dll en Calculator.exe, confirmamos que la inyección permitió ejecutar PowerShell/CLR en el proceso objetivo.

🧪 Laboratorio 4 — Dump de LSASS

🔎 Búsqueda recomendada (Sysmon Event ID 10 — ProcessAccess)

Usamos Sysmon Event 10 (ProcessAccess) para detectar procesos que intentaron acceder a lsass.exe.

Get-WinEvent -Path 'C:\Logs\Dump\*' | Where-Object{$_.ID -like "10"} | Where-Object{$_.Message -like "*TargetImage*lsass.exe*"} | Select-Object TimeCreated, ID, ProviderName, LevelDisplayName, Message

🧾 Extractos relevantes (tu salida)

• Se filtró por Event ID 10 y TargetImage conteniendo lsass.exe.

• Resultado (capturas incluidas): se observa que el SourceImage que accede a lsass.exe es ProcessHacker.exe.
  
  

🔍 Análisis

• 🕵️‍♂️ ProcessHacker.exe accedió a lsass.exe (ProcessAccess Event ID 10) — comportamiento consistente con volcado de memoria LSASS.

• 🔐 Para completar la confirmación: buscar eventos adicionales (ProcessCreate, Event ID 1) que muestren argumentos de volcado o los módulos utilizados (procdump, rundll32, comsvcs), y comprobar privilegios (SeDebugPrivilege).

🧾 Indicadores / acciones sugeridas

• IOCs: ProcessHacker.exe como SourceImage contra lsass.exe

• Acciones inmediatas: aislar host, recolectar volcado de memoria forense, revisar usuarios y privilegios (SeDebugPrivilege), comprobar persistencias y conexiones de red posteriores.

🧩 Parte 2 — ¿Hubo logins sospechosos tras el LSASS dump?

🧠 Tipos de inicio de sesión relevantes

🧮 Script PowerShell de correlación

$suspiciousLogonTypes = @(2, 10)
$loginEvents = Get-WinEvent -FilterHashtable @{Path='C:\Logs\Dump\*'; Id=4624}
$lsassDumpEvents = Get-WinEvent -FilterHashtable @{Path='C:\Logs\Dump\*'; Id=10} |
  Where-Object { $_.Message -match 'TargetImage:\s+C:\\Windows\\system32\\lsass.exe' -and $_.Message -notmatch 'SourceImage:\s+C:\\Windows\\system32\\svchost.exe' }

foreach ($lsassEvent in $lsassDumpEvents) {
    $lsassTime = $lsassEvent.TimeCreated
    $suspiciousLogins = $loginEvents | Where-Object {
        $logonType = $_.Properties[8].Value
        $suspiciousLogonTypes -contains $logonType -and $_.TimeCreated -gt $lsassTime
    }
    if ($suspiciousLogins) {
        Write-Output "⚠️ LSASS dump detected at $($lsassTime)"
        $suspiciousLogins | Select-Object TimeCreated, Id, Message
    } else {
        Write-Output "✅ LSASS dump detected at $($lsassTime) — No suspicious logins after dump."
    }
}

📈 Resultado del análisis

📅 Hora del LSASS dump: 2022-04-28 01:59:42.176
📋 Proceso implicado: ProcessHacker.exe

🛡️ Conclusiones

• 💀 Ataque detectado: Dump de LSASS realizado por ProcessHacker.exe

• 🧾 Evidencia: Sysmon Event ID 10 (ProcessAccess → TargetImage: lsass.exe)

• 🛡️ No se observan logins posteriores sospechosos

• 🔍 Recomendaciones:

  • Analizar hash del binario ProcessHacker.exe

  • Revisar actividad de SeDebugPrivilege

  • Comprobar si existen dumps en C:\Users\Public o %TEMP%

  • Añadir alerta SIEM: “ProcessAccess → lsass.exe desde proceso no firmado / no del sistema”

🧪 Laboratorio 5 — Proceso sospechoso que lanza cmd.exe

🔎 Búsqueda inicial (Event ID 1 — Process Create)

✅ Hallazgo (resumen de tu salida)

• 🧾 Proceso padre/ejecutor anómalo: WerFault.exe (Windows Error Reporting)

• 🧩 No debería lanzar cmd.exe en condiciones normales

• 🖥️ Comando ejecutado: whoami (reconocimiento)

• 📂 Directorio actual: C:\ProgramData\ (ubicación sospechosa — no es el path de WerFault legítimo)

• 🔍 Implicación: uso de WerFault.exe como LOLBin o proceso manipulado (spawned/abused) para ejecutar órdenes — técnica típica de evasión o post-explotación.

🧩 Interpretación técnica

• WerFault.exe ejecutando cmd.exe + whoami → indicio de actividad de reconocimiento tras ejecución inicial.

• C:\ProgramData\ como directorio de trabajo sugiere que el ejecutable pudo ser lanzado desde ubicación no estándar (persistencia, staging, o drop).

• Posibles técnicas: LOLBins (Living off the Land), ejecución encubierta, hijack de binario, o ejecución por un actor que creó WerFault en ProgramData.

🧾 Indicadores de Compromiso (IOCs) — plantilla

• Proceso sospechoso: WerFault.exe (ejecutándose desde C:\ProgramData\WerFault.exe)

• Proceso hijo: cmd.exe ejecutando whoami

• Directorio de ejecución: C:\ProgramData\

• Acción: ejecución interactiva / reconocimiento