Atomic Red T1055

Invoke-AtomicTest T1055

Ejecuta los tests atómicos de inyección de procesos (T1055) con Atomic Red Team, validando la detección de la inyección en el host.

Ejecútalo en el laboratorio de purple team cuando quieras validar la detección de la inyección de procesos: los atómicos de T1055 replican las variantes (CreateRemoteThread, hollowing, la inyección con PowerShell) y el equipo verifica qué detectó — Sysmon Event 8 (CreateRemoteThread), Event 10, el EDR. Es la validación de la detección de inyección: la técnica real ejecutada y la cobertura medida. En el purple teaming, los atómicos de T1055 validan las reglas de inyección y el resultado alimenta la matriz.

No lo ejecutes en producción: la inyección de procesos genera los eventos reales y los EDR pueden bloquearla o tratarla como incidente — el laboratorio es el sitio. El ruido se planifica. Y ojo: T1055 es una familia de variantes (los sub-técnicas y los métodos): cada atómico valida una variante — la cobertura se valida por método (CreateRemoteThread, hollowing). La inyección con las técnicas modernas (sin los eventos clásicos) requiere los atómicos específicos. La detección de Sysmon Event 8 (la llamada a CreateRemoteThread) es la regla clásica que se valida; su ausencia es el hueco.