Saltar al contenido principal

Lab 2.2: VM Desechable para Pruebas Destructivas

Objetivos de Aprendizaje​

Al final de este laboratorio, usted será capaz de:

  • Crear una VM Windows optimizada para pruebas
  • Utilizar snapshots para probar sin riesgos
  • Realizar pruebas destructivas de forma segura
  • Comprender el clonado y los linked clones
  • Crear un entorno de laboratorio reutilizable

Duración Estimada​

25 minutos

Prerrequisitos​

  • VirtualBox o VMware instalado
  • Una VM Windows 10/11 funcional
  • Mínimo 20 GB de espacio libre en disco

Contexto Profesional​

Como administrador de sistemas o profesional de seguridad, a menudo debe:

  • Probar configuraciones que podrían romper el sistema
  • Verificar el impacto de malware (en entorno aislado)
  • Experimentar con modificaciones de sistema arriesgadas
  • Capacitar usuarios sobre errores comunes

Las VMs desechables permiten:

  • Probar TODO sin miedo
  • Volver atrás instantáneamente
  • Multiplicar los entornos de prueba
  • Aislar completamente del sistema anfitrión

Parte 1: Comprender los Snapshots​

Paso 1.1: Concepto de Snapshot​

Un snapshot (instantánea) captura el estado EXACTO de una VM en un momento dado:

  • Todos los archivos
  • Toda la memoria RAM
  • Toda la configuración

Analogía: Es como una copia de seguridad que toma 2 segundos y permite volver atrás en 5 segundos.

Paso 1.2: Casos de Uso​

Escenario típico:

  1. VM limpia y funcional
  2. Crear snapshot "CLEAN"
  3. Probar algo destructivo (eliminar System32, desactivar servicios...)
  4. ¿Sistema roto? ¡No importa!
  5. Restaurar snapshot "CLEAN"
  6. VM como nueva en 10 segundos

Preguntas:

  1. ¿Alguna vez ha roto Windows probando algo?
  2. ¿Cuánto tiempo le tomó reinstalar?

Paso 1.3: Crear su Primer Snapshot​

En VirtualBox:

  1. Seleccione su VM Windows
  2. Máquina → Tomar una instantánea (o icono 📸)
  3. Nombre: "CLEAN_BASE"
  4. Descripción: "Windows limpio, recién instalado, antes de cualquier prueba"
  5. Haga clic en OK

¡BOOM! Snapshot creado en pocos segundos.

En VMware:

  1. VM → Snapshot → Take Snapshot
  2. Mismo principio

Preguntas: 3. ¿Cuánto tiempo tomó la creación del snapshot? 4. ¿Cuál es el tamaño de su archivo de snapshot?

Parte 2: Pruebas Destructivas - Nivel 1 (Recuperable)​

Paso 2.1: Prueba 1 - Eliminar Archivos del Sistema​

EN SU VM (NO en su computadora real):

  1. Inicie la VM
  2. Abra el Explorador de archivos
  3. Vaya a C:\Windows\System32

ADVERTENCIA: Normalmente, ¡NUNCA haga esto en un sistema real!

  1. Intente eliminar notepad.exe

    • Clic derecho → Eliminar
    • Windows puede bloquear (archivo protegido)

  2. Intente con privilegios de administrador:

    • Abra cmd como administrador
    takeown /f C:\Windows\System32\notepad.exe
    icacls C:\Windows\System32\notepad.exe /grant %username%:F
    del C:\Windows\System32\notepad.exe

  3. Intente iniciar Notepad

    • Windows + R → notepad
    • ¡Error! El archivo ya no existe

Observe:

  • Windows sigue funcionando
  • Pero notepad está roto

Preguntas: 5. ¿Logró eliminar notepad.exe? 6. ¿El sistema sigue funcionando?

Paso 2.2: Prueba 2 - Desactivar Servicios Críticos​

Abra services.msc:

services.msc

Busque y detenga estos servicios:

  1. Windows Update (wuauserv)

    • Clic derecho → Detener
    • Clic derecho → Propiedades → Tipo de inicio: Deshabilitado

  2. Windows Defender (WinDefend)

    • Igual

  3. Windows Search

    • Igual

Reinicie la VM

Observe:

  • Algunas funcionalidades ya no funcionan
  • Búsqueda de Windows rota
  • Sin actualizaciones
  • Sin protección antivirus

Preguntas: 7. ¿Qué servicios desactivó? 8. ¿Qué impacto inmediato observó?

Paso 2.3: Prueba 3 - Modificar el Registro (¡Peligroso!)​

ATENCIÓN: En un sistema real, esto puede causar un BSOD.

Abra regedit:

regedit

Vaya a:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Busque la clave Shell (normalmente = explorer.exe)

Cambie a: cmd.exe

Reinicie la VM

Resultado:

  • En lugar del escritorio normal de Windows, ¡solo tendrá cmd!
  • ¡Sin explorador, sin escritorio!

Preguntas: 9. ¿Qué obtuvo después de reiniciar? 10. ¿Podría seguir usando Windows normalmente?

Parte 3: Restauración de Snapshot​

Paso 3.1: ¡Su VM está Rota!​

Después de todas estas pruebas, probablemente su VM está:

  • Notepad eliminado
  • Servicios críticos desactivados
  • Registro modificado
  • Escritorio roto

En un sistema real: Reinstalación = 1-2 horas

Con snapshot: Recuperación = 10 segundos

Paso 3.2: Restaurar el Snapshot​

En VirtualBox:

  1. Apague la VM (o no, ¡puede restaurar incluso en ejecución!)
  2. Clic derecho en la VM → Instantáneas
  3. Seleccione "CLEAN_BASE"
  4. Clic derecho → Restaurar
  5. Confirme

Espere 5-10 segundos...

¡MAGIA! ¡Su VM vuelve al estado limpio!

Reinicie la VM:

  • Notepad funciona
  • Todos los servicios activos
  • Registro normal
  • Escritorio normal

Preguntas: 11. ¿Cuánto tiempo tomó la restauración? 12. ¿Se anularon todas sus pruebas destructivas?

Paso 3.3: Mida la Diferencia​

Tiempo para:

  • Reinstalar Windows desde cero: _____ minutos
  • Restaurar un snapshot: _____ segundos

Ratio: ¡Aproximadamente 100x más rápido!

Parte 4: Snapshots Múltiples - Estructura en Árbol​

Paso 4.1: Crear una Jerarquía de Snapshots​

Los snapshots pueden organizarse en una estructura en árbol:

CLEAN_BASE
├── APRES_INSTALL_CHROME
├── APRES_INSTALL_PYTHON
│   └── APRES_CONFIG_PYTHON
└── AVEC_BACKDOOR_TEST

Cree esta estructura:

  1. Desde CLEAN_BASE, inicie la VM
  2. Instale Chrome (u otro software)
  3. Cree snapshot: "APRES_INSTALL_CHROME"
  4. Restaure "CLEAN_BASE"
  5. Instale Python
  6. Cree snapshot: "APRES_INSTALL_PYTHON"

Ahora tiene 3 estados:

  • Windows limpio
  • Windows + Chrome
  • Windows + Python

Ventaja: ¡Probar diferentes configuraciones sin reinstalar!

Paso 4.2: Navegación entre Snapshots​

Ejercicio:

  1. Restaure "APRES_INSTALL_CHROME"
  2. Verifique que Chrome está pero no Python
  3. Restaure "APRES_INSTALL_PYTHON"
  4. Verifique que Python está pero no Chrome
  5. Restaure "CLEAN_BASE"
  6. Ni Chrome ni Python

Preguntas: 13. ¿Cuántos snapshots ha creado? 14. ¿Puede navegar libremente entre ellos?

Paso 4.3: Gestión del Espacio en Disco​

Atención: ¡Los snapshots ocupan espacio!

Verifique el espacio:

En VirtualBox:

  1. Clic derecho en la VM → Configuración → Almacenamiento
  2. Mire el tamaño de los archivos

Cada snapshot almacena:

  • Las DIFERENCIAS respecto al snapshot padre
  • No todo el disco cada vez (delta)

Buena práctica:

  • Mantenga solo los snapshots necesarios
  • Elimine los antiguos
  • Fusione cuando sea posible

Parte 5: Clonado de VMs​

Paso 5.1: Clone Completo vs Linked Clone​

Clone Completo:

  • Copia TOTAL de la VM
  • Independiente del original
  • Ocupa tanto espacio como la VM original
  • Puede moverse, compartirse

Linked Clone:

  • Comparte el disco con la VM original
  • Solo almacena las DIFERENCIAS
  • Mucho más rápido de crear
  • Usa mucho menos espacio
  • ¡Perfecto para pruebas!

Paso 5.2: Crear un Linked Clone​

En VirtualBox:

  1. Clic derecho en su VM → Clonar
  2. Nombre: "Windows_TEST_1"
  3. Tipo de clone: Marque "Vinculado" (Linked)
  4. Instantánea: Seleccione "CLEAN_BASE"
  5. Haga clic en Clonar

¡BOOM! ¡Clone creado en 10-20 segundos!

Verifique el espacio:

  • VM original: ~15-20 GB
  • Linked clone: ~500 MB al inicio

Paso 5.3: Crear Varios Clones de Prueba​

Cree 3 linked clones:

  1. "Windows_TEST_MALWARE" (para probar malware)
  2. "Windows_TEST_破坏" (para pruebas destructivas)
  3. "Windows_TEST_NETWORK" (para pruebas de red)

Ventajas:

  • 3 VMs en pocos minutos
  • Espacio total: ~2-3 GB en vez de 60 GB
  • Cada clone puede romperse y recrearse en 10 segundos

Preguntas: 15. ¿Cuántos clones ha creado? 16. ¿Cuál es el espacio total en disco utilizado?

Parte 6: Pruebas Destructivas - Nivel 2 (Más Avanzado)​

Ahora que tiene VMs desechables, ¡probemos cosas REALMENTE destructivas!

Paso 6.1: Prueba 1 - Eliminación de System32​

¡SOLO EN UN LINKED CLONE!

Mito de Internet: "Eliminar System32 acelera Windows"

Realidad: ¡Destruye completamente Windows!

Probemos (en clone):

  1. Inicie "Windows_TEST_DESTRUCTIF"
  2. cmd como administrador:
takeown /f C:\Windows\System32 /r /d y
icacls C:\Windows\System32 /grant %username%:F /t
  1. NO HACER (demasiado largo): rd /s /q C:\Windows\System32
  2. En su lugar, elimine solo una carpeta importante:
rd /s /q C:\Windows\System32\drivers
  1. Reinicie

Resultado: ¡BSOD o fallo de arranque!

Recuperación: Elimine el clone, cree uno nuevo en 10 segundos

Paso 6.2: Prueba 2 - Malware de Prueba (EICAR)​

EICAR = Archivo estándar de prueba antivirus (no es un virus real, solo una prueba)

En clone de prueba:

  1. Desactive Windows Defender
  2. Cree un archivo test.txt
  3. Pegue dentro:
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
  1. Guarde
  2. Renombre a test.com
  3. Reactívelo Defender

Resultado: ¡Defender detecta y elimina!

Observe:

  • Cuarentena
  • Notificaciones
  • Logs

Preguntas: 17. ¿Defender detectó EICAR? 18. ¿Cuánto tiempo después de reactivar?

Paso 6.3: Prueba 3 - Fork Bomb (DoS)​

Fork Bomb = Programa que se duplica infinitamente hasta saturar el sistema

ATENCIÓN: ¡Esto CONGELARÁ su VM!

Cree forkbomb.bat:

:loop
start %0
goto loop

Ejecute: Doble clic en forkbomb.bat

Resultado en 10 segundos:

  • CPU al 100%
  • Memoria saturada
  • VM completamente congelada
  • Imposible hacer nada

Recuperación:

  1. Apagado forzado de la VM
  2. Restaure snapshot o cree clone de nuevo
  3. ¡10 segundos, todo OK!

Preguntas: 19. ¿Se congeló su VM? 20. ¿Cuántos procesos cmd.exe se crearon? (Task Manager antes del congelamiento)

Parte 7: Automatización y Scripts​

Paso 7.1: Script de Reinicialización Automática​

Cree un script que:

  1. Elimine el clone de prueba
  2. Cree un nuevo clone limpio
  3. Inicie la nueva VM

Ejemplo PowerShell:

# Detener y eliminar VM de prueba
VBoxManage controlvm "Windows_TEST_1" poweroff
VBoxManage unregistervm "Windows_TEST_1" --delete

# Crear linked clone
VBoxManage clonevm "Windows_Original" --name "Windows_TEST_1" --snapshot "CLEAN_BASE" --options link --register

# Iniciar
VBoxManage startvm "Windows_TEST_1"

Paso 7.2: Entorno de Pruebas Completo​

Arquitectura ideal para labs:

VM_BASE (nunca se toca, múltiples snapshots)
├── CLEAN_BASE (snapshot)
├── WITH_TOOLS (snapshot - herramientas instaladas)
└── HARDENED (snapshot - endurecido)

Clones de prueba (se recrean a voluntad):
├── TEST_MALWARE_1
├── TEST_MALWARE_2
├── TEST_NETWORK
└── TEST_EXPLOIT

Flujo de trabajo:

  1. Romper un clone probando
  2. Eliminarlo
  3. Crear uno nuevo en 10 seg
  4. ¡Repetir!

Parte 8: Medidas de Seguridad​

Paso 8.1: Aislamiento de Red​

IMPORTANTE: ¡Las VMs de prueba deben estar aisladas!

Configuración de red recomendada:

Para pruebas ofensivas:

  • Red: Host-Only o Internal Network
  • ¡Sin Internet!
  • Comunicación solo entre VMs de prueba

Cómo configurar:

  1. Configuración de la VM → Red
  2. Modo de acceso de red: Red interna
  3. Nombre: "TestLab"

Verifique el aislamiento:

  • Intente hacer ping a google.com (debe fallar)
  • Intente hacer ping a otra VM en la misma red interna (debe funcionar)

Paso 8.2: Snapshots Antes de Cada Prueba​

Buena práctica:

Antes de CADA prueba potencialmente destructiva:

  1. Cree un snapshot con nombre descriptivo
  2. Realice su prueba
  3. Si funciona, fusione o elimine el snapshot
  4. Si se rompe, restaure

Ejemplo:

  • Snapshot: "ANTES_PRUEBA_ROOTKIT"
  • Prueba del rootkit
  • Si falla: Restore → Analizar por qué
  • Reintentar con correcciones

Paso 8.3: Documentación​

Documente cada snapshot:

Buen ejemplo:

Nombre: APRES_INSTALL_METASPLOIT
Descripción: 
- Kali Linux
- Metasploit Framework instalado y actualizado
- Base de datos PostgreSQL configurada
- Listo para pruebas de pentest
Fecha: 2024-11-08

Mal ejemplo:

Nombre: test1
Descripción: (vacío)

Entregables​

A entregar:

  1. Documento de pruebas (Word/PDF) que contenga:

    • Lista de pruebas destructivas realizadas
    • Resultados observados
    • Tiempos de recuperación vía snapshot
    • Respuestas a las 20 preguntas

  2. Capturas de pantalla (mínimo 6):

    • Lista de sus snapshots (estructura en árbol)
    • VM rota (ej: escritorio reemplazado por cmd)
    • Restauración en curso
    • VM restaurada y funcional
    • Lista de clones creados
    • Prueba EICAR detectada por Defender

  3. Arquitectura del laboratorio (esquema):

    • Su VM base
    • Sus snapshots
    • Sus clones de prueba
    • Configuración de red

  4. Script PowerShell (Paso 7.1)

Criterios de Evaluación​

CriterioPuntos
Creación y gestión de snapshots25%
Pruebas destructivas realizadas y documentadas25%
Clonado y linked clones20%
Comprensión de aislamiento y seguridad15%
Calidad de la documentación10%
Script de automatización5%

Comandos de Referencia VirtualBox​

Gestión de Snapshots​

# Listar snapshots
VBoxManage snapshot "NomVM" list

# Crear un snapshot
VBoxManage snapshot "NomVM" take "NomSnapshot" --description "Description"

# Restaurar un snapshot
VBoxManage snapshot "NomVM" restore "NomSnapshot"

# Eliminar un snapshot
VBoxManage snapshot "NomVM" delete "NomSnapshot"

Clonado​

# Clone completo
VBoxManage clonevm "VMSource" --name "VMClone" --register

# Linked clone
VBoxManage clonevm "VMSource" --name "VMClone" --snapshot "SnapshotName" --options link --register

Gestión de VMs​

# Iniciar
VBoxManage startvm "NomVM"

# Apagado limpio
VBoxManage controlvm "NomVM" acpipowerbutton

# Apagado forzado
VBoxManage controlvm "NomVM" poweroff

# Eliminar
VBoxManage unregistervm "NomVM" --delete

Solución de Problemas​

Problema: El snapshot tarda mucho​

Solución: Si su VM tiene mucha RAM (8 GB+), el snapshot de la memoria puede tardar. Apague la VM antes de crear el snapshot.

Problema: Falta de espacio en disco​

Solución:

  • Elimine snapshots innecesarios
  • Fusione snapshots (clic derecho → Eliminar - los datos se conservan)
  • Use linked clones en vez de clones completos

Problema: El linked clone no arranca​

Solución: El linked clone depende de la VM padre. Si elimina o mueve la VM padre, los linked clones dejarán de funcionar.

Ir Más Allá (Opcional)​

Reto 1: Lab Multi-VMs​

Cree un laboratorio con:

  • 1 VM Windows (objetivo)
  • 1 VM Kali Linux (atacante)
  • Red interna que los conecte
  • Snapshots coordinados de ambos

Reto 2: Vagrant para Automatización​

Investigue Vagrant - herramienta de automatización de VMs.

Cree un Vagrantfile que:

  • Configure automáticamente una VM Windows
  • Instale herramientas
  • Cree los snapshots
  • ¡Todo en un solo comando!

Reto 3: Plantillas de VMs​

Cree plantillas para diferentes escenarios:

  • Plantilla "Windows Vulnerable" (antiguo, sin parches)
  • Plantilla "Windows Hardened" (endurecido al máximo)
  • Plantilla "Windows Default" (instalación base)

Documente las diferencias y casos de uso.

Conclusión​

Este laboratorio le ha enseñado a:

  • Utilizar snapshots para probar sin riesgos
  • Crear entornos desechables
  • Realizar pruebas destructivas de forma segura
  • Optimizar el espacio en disco con linked clones
  • Crear una infraestructura de laboratorio reutilizable

Lecciones clave:

  1. Snapshots = Libertad total - Pruebe todo sin miedo
  2. Linked clones = Eficiencia - Varios entornos, poco espacio
  3. Aislamiento de red = Seguridad - Sin impacto en la red real
  4. Documentación = Productividad - Sepa dónde está
  5. Automatización = Rapidez - Scripts para tareas repetitivas

Próximo paso: Lab 2.3 donde explorará las opciones de seguridad BIOS/UEFI y la protección a nivel de firmware.

Lab desarrollado en el marco del curso Sistemas Operativos - MÓDULO 2