detecting-process-hollowing-technique
por mukul975detecting-process-hollowing-technique ayuda a detectar process hollowing (T1055.012) en telemetría de Windows correlacionando inicios suspendidos, manipulación de memoria, anomalías entre proceso padre e hijo y evidencia de API. Está pensada para threat hunters, ingenieros de detección y equipos de respuesta que necesitan un flujo práctico de threat hunting con detecting-process-hollowing-technique.
Esta skill obtiene 81/100, así que es una ficha sólida para quienes buscan process hollowing (T1055.012). El repositorio aporta suficiente detalle operativo para que un agente reconozca cuándo usarla, siga un flujo de detección y aproveche scripts y referencias de apoyo con relativamente poca incertidumbre, aunque sigue orientada más a la detección que a un uso totalmente listo para ejecutar.
- Alta capacidad de activación: SKILL.md apunta con claridad a la detección de process hollowing y menciona casos de uso concretos como alertas de EDR, amenazas en memoria y validación purple team.
- Buen armazón operativo: el repositorio incluye un flujo de varias fases junto con referencias de apoyo para Sysmon, MDE/KQL, Splunk SPL y contexto de secuencias de API.
- Aporta valor a agentes: los scripts y plantillas ofrecen puntos de partida ejecutables para analizar logs de Sysmon y documentar hunting, en lugar de limitarse a orientación narrativa.
- SKILL.md no incluye un comando de instalación, así que es posible que los usuarios deban inferir por su cuenta cómo operacionalizar los scripts y dependencias.
- Parte del contenido del flujo está truncada en la evidencia, y la skill parece centrarse en telemetría de Windows, lo que limita su encaje fuera de ese entorno.
Resumen general de la habilidad detecting-process-hollowing-technique
La habilidad detecting-process-hollowing-technique te ayuda a cazar process hollowing (MITRE ATT&CK T1055.012) en telemetría de Windows correlacionando creación de procesos, manipulación de memoria y anomalías entre proceso padre e hijo. Es ideal para threat hunters, detection engineers y incident responders que necesitan un flujo práctico de detecting-process-hollowing-technique for Threat Hunting, no una explicación genérica sobre inyección de procesos.
Para qué sirve esta habilidad
Usa esta habilidad cuando necesites decidir si un proceso sospechoso está realmente hollowed, y no solo si es inusual. Se centra en las señales que importan operativamente: creación de procesos en estado suspended, desajuste de imagen, escrituras remotas en memoria y flujo de ejecución anómalo después de reanudar el hilo.
Por qué es útil en cacerías reales
El principal valor de detecting-process-hollowing-technique skill es su estructura. En lugar de buscar a partir de una sola alerta, te propone una secuencia: identificar procesos candidatos, validarlos frente a las relaciones padre-hijo esperadas en Windows y luego confirmarlos con evidencia de memoria y de API. Eso reduce los falsos positivos derivados del comportamiento benigno de servicios y ayuda a separar lo “extraño” de lo “malicioso”.
Qué lo diferencia
Esta habilidad rinde mejor cuando tienes telemetría de EDR o Sysmon y necesitas un flujo de trabajo orientado a detección. Es más útil que un prompt de una sola línea porque ya incorpora la cadena habitual del hollowing y la compensación común: para ganar confianza, necesitas mejor visibilidad del proceso y de la memoria. Si solo cuentas con registros de red, esta habilidad no te dará evidencia suficiente.
Cómo usar la habilidad detecting-process-hollowing-technique
Instálala y cárgala
Instálala con:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-process-hollowing-technique
Después abre primero skills/detecting-process-hollowing-technique/SKILL.md. Si quieres el contexto operativo detrás de la lógica de búsqueda, lee también references/standards.md y references/workflows.md antes de ejecutar la habilidad en tu propio entorno.
Empieza con la entrada adecuada
La habilidad funciona mejor cuando tu prompt incluye la fuente de telemetría, una breve hipótesis de sospecha y la ventana temporal. Por ejemplo: “Analiza Sysmon Event IDs 1, 8, 10 y 25 del host X en busca de signos de process hollowing después de un inicio sospechoso de svchost.exe a las 14:30 UTC.” Eso es mejor que “busca malware”, porque le da al modelo un objetivo concreto de caza y una ruta de verificación.
Flujo de trabajo sugerido
- Usa la habilidad para acotar procesos candidatos desde Sysmon o EDR.
- Valida la relación padre-hijo contra la línea base de Windows.
- Revisa indicadores de hollowing: inicio en suspended, secuencia de unmap/write/redirect y eventos de manipulación.
- Confirma con evidencia de memoria si está disponible.
- Convierte el resultado en una nota de hunting o una regla de detección, usando
assets/template.mdcomo formato de reporte.
Archivos que conviene leer primero
Para detecting-process-hollowing-technique usage, prioriza:
SKILL.mdpara la lógica de la caza y los requisitos previosreferences/api-reference.mdpara la secuencia de API y una consulta de Splunk de ejemploreferences/workflows.mdpara ejemplos con Sysmon y MDEassets/template.mdpara documentar los hallazgos con claridadscripts/agent.pyyscripts/process.pysi quieres automatizar el parseo de eventos o el triaje
Preguntas frecuentes sobre detecting-process-hollowing-technique
¿Esto es solo para analistas avanzados?
No. La detecting-process-hollowing-technique guide es accesible para principiantes que ya conocen los conceptos básicos de procesos en Windows. Sí necesitas suficiente contexto para distinguir el comportamiento normal de servicios de los patrones sospechosos de inyección, pero la habilidad te da una ruta de caza utilizable en lugar de exigir conocimientos profundos de reverse engineering.
¿Necesito EDR o Sysmon?
Preferiblemente, sí. La habilidad es más potente con telemetría de Sysmon y EDR porque el process hollowing suele ser invisible en los registros básicos del endpoint. Sin telemetría de creación de procesos, manipulación o memoria, es posible que solo obtengas una sospecha débil y no una conclusión defendible.
¿En qué se diferencia de un prompt normal?
Un prompt normal puede describir el process hollowing en términos generales. Esta habilidad está más orientada a la toma de decisiones: te empuja hacia comprobaciones concretas, baselines esperados de padre-hijo y evidencia que apoye o refute T1055.012. Eso suele producir mejores resultados de triaje y menos respuestas vagas.
¿Cuándo no debería usarla?
No uses detecting-process-hollowing-technique si tu caso trata principalmente de explotación de navegadores, malware basado en macros o persistencia genérica sin evidencia de inyección de procesos. También encaja mal cuando no tienes telemetría del endpoint y solo necesitas un resumen de incidente de alto nivel.
Cómo mejorar la habilidad detecting-process-hollowing-technique
Aporta más contexto de telemetría
La mayor mejora de calidad viene de mejores datos de entrada. Incluye versión del sistema operativo, fuente de registro, event IDs y uno o dos nombres de proceso sospechosos. Por ejemplo: “Windows 11, Sysmon 13, Event 1 y 25, svchost.exe iniciado por cmd.exe, luego alerta de tampering a las 14:31.” Eso ayuda al modelo a anclarse en la ruta de detección correcta.
Pide un veredicto con evidencia
Si quieres una salida útil, pide tanto una conclusión como la cadena de evidencias. Una buena solicitud sería: “Clasifica la probabilidad de process hollowing, enumera los indicadores de apoyo y señala qué evidencia falta todavía.” Eso obliga al resultado a separar hallazgos confirmados de suposiciones.
Vigila los fallos más comunes
El error más frecuente es afirmar hollowing solo por una discrepancia padre-hijo. Otro es tratar todo proceso en estado suspended como malicioso. Mejora el resultado proporcionando expectativas de referencia para padre-hijo, actividad administrativa conocida como legítima y si hay evidencia de memoria o solo registros de eventos.
Itera después de la primera pasada
Usa la primera respuesta para identificar qué falta y vuelve a ejecutar la habilidad con esas lagunas cubiertas. Si la salida es provisional, añade hashes de proceso, líneas de comando, módulos cargados y el tiempo transcurrido entre CreateProcess, WriteProcessMemory y ResumeThread. Eso convierte una respuesta genérica de detecting-process-hollowing-technique skill en una nota de detección o hunting mucho más defendible.