مقدمة
استخدمنا Splunk للتحقيق في نشاط برامج الفدية على جهاز يعمل بنظام Windows. تم تنزيل برنامج الفدية على الجهاز من خلال Powershell وقام بتشفير جزئي لنظام الملفات. كان هذا جزءًا من جربHackMe PS الكسوف
السيناريو: أنت أ شركة نفط الجنوب تم استدعاء محلل لشركة MSSP (مقدم خدمة الأمان المُدارة). TryNotHackMe.
أرسل أحد العملاء بريدًا إلكترونيًا يطلب فيه محللًا للتحقيق في الأحداث التي وقعت على جهاز Keegan الاثنين 16 مايو 2022. لاحظ العميل ذلك الآلة قيد التشغيل، ولكن بعض الملفات لها امتداد ملف غريب. يشعر العميل بالقلق من وجود محاولة فدية على جهاز Keegan.
لقد كلفك مديرك بالتحقق من الأحداث في Splunk لتحديد ما حدث في جهاز Keegan.
إجابات التحدي
ما هو العنوان الذي تم تنزيل الملف الثنائي منه؟ يضيف http:// لإجابتك وإلغاء تحديد عنوان URL.
ما هو الملف القابل للتنفيذ لنظام Windows الذي تم استخدامه لتنزيل الملف الثنائي المشبوه؟ أدخل المسار الكامل.
ما الأمر الذي تم تنفيذه لتكوين الملف الثنائي المشبوه ليعمل بامتيازات مرتفعة؟
ما هي الأذونات التي سيتم تشغيل الملف الثنائي المشبوه بها؟ ما هو الأمر لتشغيل الملف الثنائي بامتيازات مرتفعة؟ (شكل: مستخدم + ; + سطر الأوامر)
الملف الثنائي المشبوه متصل بخادم بعيد. ما هو العنوان الذي تم الاتصال به؟ يضيف http:// لإجابتك وإلغاء تحديد عنوان URL.
أ بوويرشيل تم تنزيل البرنامج النصي إلى نفس موقع الملف الثنائي المشبوه. ماذا كان اسم الملف؟
تم وضع علامة على البرنامج النصي الضار على أنه ضار. ما رأيك هو الاسم الفعلي للبرنامج النصي الخبيث؟
تم حفظ مذكرة الفدية على القرص، والتي يمكن أن تكون بمثابة ملف اللجنة الأولمبية الدولية. ما هو المسار الكامل الذي تم حفظ مذكرة الفدية فيه؟
قام البرنامج النصي بحفظ ملف صورة على القرص لاستبدال خلفية سطح المكتب للمستخدم، والتي يمكن أيضًا أن تكون بمثابة صورة اللجنة الأولمبية الدولية. ما هو المسار الكامل للصورة؟
تجول الفيديو
احصل على ملاحظات ميدانية حول الأمن السيبراني من خلال الانضمام إلى عضوية قناتي على YouTube
