{"id":5543,"date":"2020-11-27T12:22:41","date_gmt":"2020-11-27T10:22:41","guid":{"rendered":"http:\/\/www.cytomic.ai\/?p=5543"},"modified":"2023-07-13T14:07:32","modified_gmt":"2023-07-13T12:07:32","slug":"id-700102-2","status":"publish","type":"post","link":"https:\/\/www.cytomic.ai\/es\/soporte\/id-700102-2\/","title":{"rendered":"Informaci\u00f3n relacionada con las t\u00e9cnicas de Exploit en Advanced EPDR\/EDR"},"content":{"rendered":"[vc_row type=&#8221;full_width_background&#8221; full_screen_row_position=&#8221;middle&#8221; column_margin=&#8221;default&#8221; equal_height=&#8221;yes&#8221; content_placement=&#8221;middle&#8221; column_direction=&#8221;default&#8221; column_direction_tablet=&#8221;default&#8221; column_direction_phone=&#8221;default&#8221; bg_color=&#8221;#7e5994&#8243; scene_position=&#8221;center&#8221; top_padding=&#8221;12&#8243; bottom_padding=&#8221;12&#8243; text_color=&#8221;light&#8221; text_align=&#8221;left&#8221; row_border_radius=&#8221;none&#8221; row_border_radius_applies=&#8221;bg&#8221; overlay_strength=&#8221;0.3&#8243; gradient_direction=&#8221;left_to_right&#8221; shape_divider_position=&#8221;bottom&#8221; bg_image_animation=&#8221;none&#8221; shape_type=&#8221;&#8221;][vc_column column_padding=&#8221;no-extra-padding&#8221; column_padding_tablet=&#8221;inherit&#8221; column_padding_phone=&#8221;inherit&#8221; column_padding_position=&#8221;all&#8221; background_color_opacity=&#8221;1&#8243; background_hover_color_opacity=&#8221;1&#8243; column_shadow=&#8221;none&#8221; column_border_radius=&#8221;none&#8221; column_link_target=&#8221;_self&#8221; gradient_direction=&#8221;left_to_right&#8221; overlay_strength=&#8221;0.3&#8243; width=&#8221;3\/5&#8243; tablet_width_inherit=&#8221;default&#8221; tablet_text_alignment=&#8221;default&#8221; phone_text_alignment=&#8221;default&#8221; column_border_width=&#8221;none&#8221; column_border_style=&#8221;solid&#8221; bg_image_animation=&#8221;none&#8221;][\/vc_column][vc_column column_padding=&#8221;no-extra-padding&#8221; column_padding_tablet=&#8221;inherit&#8221; column_padding_phone=&#8221;inherit&#8221; column_padding_position=&#8221;all&#8221; background_color_opacity=&#8221;1&#8243; background_hover_color_opacity=&#8221;1&#8243; column_shadow=&#8221;none&#8221; column_border_radius=&#8221;none&#8221; column_link_target=&#8221;_self&#8221; gradient_direction=&#8221;left_to_right&#8221; overlay_strength=&#8221;0.3&#8243; width=&#8221;1\/5&#8243; tablet_width_inherit=&#8221;default&#8221; tablet_text_alignment=&#8221;default&#8221; phone_text_alignment=&#8221;default&#8221; column_border_width=&#8221;none&#8221; column_border_style=&#8221;solid&#8221; bg_image_animation=&#8221;none&#8221;]<div class=\"iwithtext\"><div class=\"iwt-icon\"> <img decoding=\"async\" src=\"https:\/\/www.cytomic.ai\/src\/uploads\/2020\/03\/support-tiny.svg\" alt=\"\" \/> <\/div><div class=\"iwt-text\"> +34 900 840 407 <\/div><div class=\"clear\"><\/div><\/div>[\/vc_column][vc_column column_padding=&#8221;no-extra-padding&#8221; column_padding_tablet=&#8221;inherit&#8221; column_padding_phone=&#8221;inherit&#8221; column_padding_position=&#8221;all&#8221; background_color_opacity=&#8221;1&#8243; background_hover_color_opacity=&#8221;1&#8243; column_shadow=&#8221;none&#8221; column_border_radius=&#8221;none&#8221; column_link_target=&#8221;_self&#8221; gradient_direction=&#8221;left_to_right&#8221; overlay_strength=&#8221;0.3&#8243; width=&#8221;1\/5&#8243; tablet_width_inherit=&#8221;default&#8221; tablet_text_alignment=&#8221;default&#8221; phone_text_alignment=&#8221;default&#8221; column_border_width=&#8221;none&#8221; column_border_style=&#8221;solid&#8221; bg_image_animation=&#8221;none&#8221;]<div class=\"iwithtext\"><div class=\"iwt-icon\"> <img decoding=\"async\" src=\"https:\/\/www.cytomic.ai\/src\/uploads\/2020\/03\/contact-tiny.svg\" alt=\"\" \/> <\/div><div class=\"iwt-text\"> support@cytomic.ai <\/div><div class=\"clear\"><\/div><\/div>[\/vc_column][\/vc_row][vc_row type=&#8221;full_width_content&#8221; full_screen_row_position=&#8221;middle&#8221; column_margin=&#8221;default&#8221; equal_height=&#8221;yes&#8221; content_placement=&#8221;top&#8221; column_direction=&#8221;default&#8221; column_direction_tablet=&#8221;default&#8221; column_direction_phone=&#8221;default&#8221; scene_position=&#8221;center&#8221; text_color=&#8221;dark&#8221; text_align=&#8221;left&#8221; row_border_radius=&#8221;none&#8221; row_border_radius_applies=&#8221;bg&#8221; overlay_strength=&#8221;0.3&#8243; gradient_direction=&#8221;left_to_right&#8221; shape_divider_position=&#8221;bottom&#8221; bg_image_animation=&#8221;none&#8221; shape_type=&#8221;&#8221;][vc_column column_padding=&#8221;padding-5-percent&#8221; column_padding_tablet=&#8221;inherit&#8221; column_padding_phone=&#8221;inherit&#8221; column_padding_position=&#8221;all&#8221; background_color=&#8221;#f3f3f3&#8243; background_color_opacity=&#8221;1&#8243; background_hover_color_opacity=&#8221;1&#8243; column_shadow=&#8221;none&#8221; column_border_radius=&#8221;none&#8221; column_link_target=&#8221;_self&#8221; gradient_direction=&#8221;left_to_right&#8221; overlay_strength=&#8221;0.3&#8243; width=&#8221;1\/3&#8243; tablet_width_inherit=&#8221;default&#8221; tablet_text_alignment=&#8221;default&#8221; phone_text_alignment=&#8221;default&#8221; column_border_width=&#8221;none&#8221; column_border_style=&#8221;solid&#8221; bg_image_animation=&#8221;none&#8221;][split_line_heading animation_type=&#8221;default&#8221;]<a href=\"#title1\">Productos relacionados_<\/a><\/p>\n<p><a href=\"#title2\">Introducci\u00f3n_<\/a><\/p>\n<p><a href=\"#title3\">T\u00e9cnicas de exploit_<\/a><\/p>\n<p><a href=\"#title4\">Exclusiones_<\/a>[\/split_line_heading][\/vc_column][vc_column column_padding=&#8221;padding-5-percent&#8221; column_padding_tablet=&#8221;inherit&#8221; column_padding_phone=&#8221;inherit&#8221; column_padding_position=&#8221;all&#8221; background_color_opacity=&#8221;1&#8243; background_hover_color_opacity=&#8221;1&#8243; column_shadow=&#8221;none&#8221; column_border_radius=&#8221;none&#8221; column_link_target=&#8221;_self&#8221; gradient_direction=&#8221;left_to_right&#8221; overlay_strength=&#8221;0.3&#8243; width=&#8221;2\/3&#8243; tablet_width_inherit=&#8221;default&#8221; tablet_text_alignment=&#8221;default&#8221; phone_text_alignment=&#8221;default&#8221; column_border_width=&#8221;none&#8221; column_border_style=&#8221;solid&#8221; bg_image_animation=&#8221;none&#8221;][vc_column_text]\n<h3>Informaci\u00f3n relacionada con las t\u00e9cnicas de Exploit en Advanced EPDR\/EDR<\/h3>\n[\/vc_column_text][vc_column_text css=&#8221;.vc_custom_1606472442795{padding-top: 40px !important;padding-bottom: 20px !important;}&#8221;]\n<h6 id=\"title1\">Productos relacionados_<\/h6>\n[\/vc_column_text][vc_column_text]\n<ul>\n<li>Advanced EPDR<\/li>\n<li>Advanced EDR<\/li>\n<\/ul>\n[\/vc_column_text][vc_column_text css=&#8221;.vc_custom_1606472070180{padding-top: 40px !important;padding-bottom: 20px !important;}&#8221;]\n<h6 id=\"title2\">Introducci\u00f3n_<\/h6>\n[\/vc_column_text][vc_column_text]Desde la <a href=\"https:\/\/cytomic.ai\/es\/soporte\/id-700086\">Release III<\/a> de Advanced EPDR\/EDR se muestra, dentro de la actividad de exploits, la t\u00e9cnica de exploit que ha sido detectada, junto al programa que se ha visto comprometido.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-5522\" src=\"http:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/Screenshot-1-Cytomic_ESP-300x119.jpg\" alt=\"\" width=\"610\" height=\"242\" srcset=\"https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/Screenshot-1-Cytomic_ESP-300x119.jpg 300w, https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/Screenshot-1-Cytomic_ESP-1024x407.jpg 1024w, https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/Screenshot-1-Cytomic_ESP-768x305.jpg 768w, https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/Screenshot-1-Cytomic_ESP-1536x610.jpg 1536w, https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/Screenshot-1-Cytomic_ESP.jpg 1887w\" sizes=\"auto, (max-width: 610px) 100vw, 610px\" \/>[\/vc_column_text][vc_column_text css=&#8221;.vc_custom_1606472219756{padding-top: 40px !important;padding-bottom: 20px !important;}&#8221;]\n<h6 id=\"title3\">T\u00e9cnicas de exploit_<\/h6>\n[\/vc_column_text][vc_column_text]A continuaci\u00f3n podr\u00e1s encontrar las diferentes t\u00e9cnicas monitorizadas, as\u00ed como una breve descripci\u00f3n de estas:<\/p>\n<p><strong>Exploit\/Metasploit<\/strong><br \/>\nMetasploit Framework es una plataforma de pruebas que permite la creaci\u00f3n, prueba y ejecuci\u00f3n de c\u00f3digo de exploit. Si los productos Advanced EPDR\/EDR detectan una firma de shellcode metasploit, aparece como una t\u00e9cnica <strong>Exploit\/Metasploit<\/strong>.<\/p>\n<p><strong>Exploit\/ReflectiveLoader<\/strong><br \/>\nLa inyecci\u00f3n reflexiva de DLL utiliza programaci\u00f3n reflexiva para cargar una biblioteca desde la memoria en un proceso host sin detecci\u00f3n. Si los productos Advanced EPDR\/EDR detectan la carga de un ejecutable reflexivo (por ejemplo, metasploit o cobalt strike), se marca como una t\u00e9cnica <strong>Exploit\/ReflectiveLoader<\/strong>.<\/p>\n<p><strong>Exploit\/RemoteAPCInjection<\/strong><br \/>\nLa cola de llamadas a procedimientos as\u00edncronos (APC) se puede utilizar para inyectar c\u00f3digo malicioso en un proceso con el fin de evadir las defensas basadas en procesos, as\u00ed como posiblemente elevar privilegios. La inyecci\u00f3n APC ejecuta c\u00f3digo arbitrario en el espacio de direcciones de un proceso vivo separado. Si los productos Advanced EPDR\/EDR detectan inyecci\u00f3n remota de c\u00f3digo a trav\u00e9s de un APC, se marca como <strong>Exploit\/RemoteAPCInjection<\/strong>.<\/p>\n<p><strong>Exploit\/DynamicExec<\/strong><br \/>\nLas inyecciones de c\u00f3digo ocurren cuando las aplicaciones permiten la ejecuci\u00f3n din\u00e1mica de instrucciones de c\u00f3digo a partir de datos no confiables. Un atacante puede influir en el comportamiento de la aplicaci\u00f3n objetivo y modificarlo para obtener acceso a datos sensibles. Si los productos Advanced EPDR\/EDR detectan la ejecuci\u00f3n de c\u00f3digo en p\u00e1ginas sin permisos de ejecuci\u00f3n (solo 32 bits), se marca como una t\u00e9cnica <strong>Exploit\/DynamicExec<\/strong>.<\/p>\n<p><strong>Exploit\/HookBypass<\/strong><br \/>\nHooking se refiere a la intercepci\u00f3n de llamadas a funciones, eventos del sistema o mensajes. Los fragmentos de c\u00f3digo que realizan estas intercepciones se denominan hooks. Si los productos Advanced EPDR\/EDR detectan un hook bypass en una funci\u00f3n en ejecuci\u00f3n, se marca como una t\u00e9cnica <strong>Exploit\/HookBypass<\/strong>.<\/p>\n<p><strong>Exploit\/ShellcodeBehavior<\/strong><br \/>\nShellcode es un peque\u00f1o fragmento de c\u00f3digo m\u00e1quina utilizado como carga \u00fatil en la explotaci\u00f3n de una vulnerabilidad de software. Un exploit com\u00fanmente inyecta un shellcode en el proceso destino antes o al mismo tiempo que explota una vulnerabilidad. Si los productos Advanced EPDR\/EDR detectan la ejecuci\u00f3n de c\u00f3digo en p\u00e1ginas MEM_PRIVATE que no corresponde a un PE, se marca como una t\u00e9cnica <strong>Exploit\/ShellcodeBehavior<\/strong>.<\/p>\n<p><strong>Exploit\/ROP1<\/strong><br \/>\nLa programaci\u00f3n orientada al retorno (ROP) es una t\u00e9cnica de explotaci\u00f3n que permite a los atacantes controlar la pila de llamadas y el flujo de control del programa. A continuaci\u00f3n, el atacante ejecuta secuencias de instrucciones de m\u00e1quina que ya est\u00e1n presentes en la memoria de la m\u00e1quina. Estas instrucciones suelen terminar en una instrucci\u00f3n de retorno y se encuentran en una subrutina dentro de un programa existente o c\u00f3digo de biblioteca compartida. Si los productos Advanced EPDR\/EDR detectan la ejecuci\u00f3n de APIs de gesti\u00f3n de memoria cuando la pila est\u00e1 fuera de los l\u00edmites del hilo, se marca como una t\u00e9cnica <strong>Exploit\/ROP1<\/strong>.<\/p>\n<p><strong>Exploit\/IE_GodMode<\/strong><br \/>\nEl Modo Dios de Windows (God Mode) te permite acceder r\u00e1pidamente a herramientas administrativas, opciones de copia de seguridad y restauraci\u00f3n y otras opciones de administraci\u00f3n importantes desde una \u00fanica ventana. Esto incluye opciones de Internet. Si los productos Advanced EPDR\/EDR detectan el Modo Dios en Internet Explorer, se marca como una t\u00e9cnica <strong>Exploit\/IE_GodMode<\/strong>.<\/p>\n<p><strong>Exploit\/RunPE<\/strong><br \/>\nRunPE es un tipo de malware que oculta c\u00f3digo dentro de un proceso leg\u00edtimo. A veces se denomina t\u00e9cnica de vaciado. Si los productos Advanced EPDR\/EDR detectan t\u00e9cnicas de vaciado de procesos o RunPE, se marca como una t\u00e9cnica <strong>Exploit\/RunPE<\/strong>.<\/p>\n<p><strong>Exploit\/PsReflectiveLoader1<\/strong><br \/>\nLos cargadores reflexivos son com\u00fanmente utilizados por los hackers para extraer informaci\u00f3n sensible, como contrase\u00f1as y credenciales de la memoria del sistema. Si los productos Advanced EPDR\/EDR detectan un cargador reflexivo PowerShell, como mimikatz, se marca como <strong>Exploit\/PsReflectiveLoader1<\/strong>.<\/p>\n<p><strong>Exploit\/PsReflectiveLoader2<\/strong><br \/>\nLos cargadores reflexivos son com\u00fanmente utilizados por los hackers para extraer informaci\u00f3n sensible, como contrase\u00f1as y credenciales de la memoria del sistema. Si los productos Advanced EPDR\/EDR detectan un cargador reflexivo PowerShell, como mimikatz, en un equipo remoto, se marca como <strong>Exploit\/PsReflectiveLoader2<\/strong>.<\/p>\n<p><strong>Exploit\/NetReflectiveLoader<\/strong><br \/>\nLos cargadores reflexivos son com\u00fanmente utilizados por los hackers para extraer informaci\u00f3n sensible, como contrase\u00f1as y credenciales de la memoria del sistema. Si los productos Advanced EPDR\/EDR detectan un cargador reflexivo NET, como Assembly.Load, se marca como una t\u00e9cnica <strong>Exploit\/NetReflectiveLoader<\/strong>.<\/p>\n<p><strong>Exploit\/JS2DOT<\/strong><br \/>\njs2-mode es un modo de edici\u00f3n JavaScript para GNU Emacs (editor de texto gratuito y personalizable). Si los productos Advanced EPDR\/EDR detectan una t\u00e9cnica JS2DOT, se marca como una t\u00e9cnica <strong>Exploit\/JS2DOT<\/strong>.<\/p>\n<p><strong>Exploit\/Covenant<\/strong><br \/>\nCovenant es una plataforma .NET de comando y control colaborativo para profesionales de la ciberseguridad. Si los productos Advanced EPDR\/EDR detectan la t\u00e9cnica Covenant, se marca como t\u00e9cnica <strong>Exploit\/Covenant<\/strong>.<\/p>\n<p><strong>Exploit\/DumpLsass<\/strong><br \/>\nLos atacantes pueden intentar acceder al material de credenciales almacenado en la memoria de proceso del Local Security Authority Subsystem Service (LSASS). Si los productos Advanced EPDR\/EDR detectan un volcado de memoria del proceso Lsass, se marca como una t\u00e9cnica <strong>Exploit\/DumpLsass<\/strong>.<\/p>\n<p><strong>Exploit\/APC_Exec<\/strong><br \/>\nLos atacantes pueden intentar inyectar c\u00f3digo malicioso en procesos en la cola de llamadas a procedimientos as\u00edncronos (APC) para evadir las defensas basadas en procesos o elevar privilegios. La inyecci\u00f3n APC es un m\u00e9todo para ejecutar c\u00f3digo arbitrario en un proceso vivo separado. Si los productos Advanced EPDR\/EDR detectan la ejecuci\u00f3n de c\u00f3digo local a trav\u00e9s de APC, se marca como una t\u00e9cnica <strong>Exploit\/APC_Exec<\/strong>.[\/vc_column_text][vc_column_text css=&#8221;.vc_custom_1606472309148{padding-top: 40px !important;padding-bottom: 20px !important;}&#8221;]\n<h6 id=\"title4\">Exclusiones_<\/h6>\n[\/vc_column_text][vc_column_text]Adicionalmente, se ha a\u00f1adido la posibilidad de excluir la detecci\u00f3n de una t\u00e9cnica de exploit para un programa concreto. De esta forma, en el caso de que el cliente quiera permitir, por cualquier motivo, una excepci\u00f3n para un proceso o programa concreto, puede hacerse, y seguir protegiendo al resto de procesos frente a ese intento de explotaci\u00f3n.<br \/>\nPara ello, en la detecci\u00f3n del exploit, dentro del tooltip accesible desde <strong>Acci\u00f3n<\/strong>, existe la opci\u00f3n <strong>No volver a detectar<\/strong>.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-5520\" src=\"http:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/700102-cytomic_esp-300x170.jpg\" alt=\"\" width=\"542\" height=\"307\" srcset=\"https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/700102-cytomic_esp-300x170.jpg 300w, https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/700102-cytomic_esp-1024x579.jpg 1024w, https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/700102-cytomic_esp-768x434.jpg 768w, https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/700102-cytomic_esp-1536x868.jpg 1536w, https:\/\/www.cytomic.ai\/src\/uploads\/2020\/11\/700102-cytomic_esp.jpg 1557w\" sizes=\"auto, (max-width: 542px) 100vw, 542px\" \/>[\/vc_column_text][\/vc_column][\/vc_row]\n","protected":false},"excerpt":{"rendered":"<p>[vc_row type=&#8221;full_width_background&#8221; full_screen_row_position=&#8221;middle&#8221; column_margin=&#8221;default&#8221; equal_height=&#8221;yes&#8221; content_placement=&#8221;middle&#8221; column_direction=&#8221;default&#8221; column_direction_tablet=&#8221;default&#8221; column_direction_phone=&#8221;default&#8221; bg_color=&#8221;#7e5994&#8243; scene_position=&#8221;center&#8221; top_padding=&#8221;12&#8243; bottom_padding=&#8221;12&#8243; text_color=&#8221;light&#8221; text_align=&#8221;left&#8221; row_border_radius=&#8221;none&#8221; row_border_radius_applies=&#8221;bg&#8221; overlay_strength=&#8221;0.3&#8243; gradient_direction=&#8221;left_to_right&#8221; shape_divider_position=&#8221;bottom&#8221; bg_image_animation=&#8221;none&#8221; shape_type=&#8221;&#8221;][vc_column column_padding=&#8221;no-extra-padding&#8221; column_padding_tablet=&#8221;inherit&#8221; column_padding_phone=&#8221;inherit&#8221; column_padding_position=&#8221;all&#8221; background_color_opacity=&#8221;1&#8243; background_hover_color_opacity=&#8221;1&#8243; column_shadow=&#8221;none&#8221; column_border_radius=&#8221;none&#8221;&#8230;<\/p>\n","protected":false},"author":4,"featured_media":414,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[27],"tags":[],"class_list":{"0":"post-5543","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-soporte"},"_links":{"self":[{"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/posts\/5543","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/comments?post=5543"}],"version-history":[{"count":6,"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/posts\/5543\/revisions"}],"predecessor-version":[{"id":7854,"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/posts\/5543\/revisions\/7854"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/media\/414"}],"wp:attachment":[{"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/media?parent=5543"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/categories?post=5543"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cytomic.ai\/es\/wp-json\/wp\/v2\/tags?post=5543"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}