Prémisse
Dans cette vidéo, nous avons couvert l'enquête FTP à l'aide de requêtes de recherche Splunk. Nous avons utilisé les données des questions TryHackMe Splunk 2 Boss de la série SOC v2 400 dans le cadre du parcours de cyberdéfense.
Obtenez des notes de terrain Splunk
Questions et réponses sur la salle
Un organisme fédéral d'application de la loi rapporte que Taedonggang harcèle souvent ses victimes avec des fichiers zip qui doivent être ouverts avec un mot de passe. Quel est le nom de la pièce jointe envoyée à Frothly par un acteur malveillant de Taedonggang ?
Quel est le mot de passe pour ouvrir le fichier zip ?
Le groupe Taedonggang APT crypte la majeure partie de son trafic avec SSL. Quel est « l’émetteur SSL » qu’ils utilisent pour la majorité de leur trafic ? Réponse : Copiez le champ exactement, y compris les espaces.
Quel fichier inhabituel (pour une société américaine) winsys32.dll provoque-t-il le téléchargement dans l'environnement Frothly ?
Quel est le prénom et le nom du pauvre innocent impliqué dans les métadonnées du fichier qui a exécuté PowerShell Empire sur le poste de travail de la première victime ? Exemple de réponse : John Smith
Dans le document, quels types de points sont mentionnés si vous avez trouvé le texte ?
Pour maintenir la persistance dans le réseau Frothly, Taedonggang APT a configuré plusieurs tâches planifiées pour revenir à leur serveur C2. Quelle page Web est la plus contactée par ces tâches planifiées ? Exemple de réponse : index.php ou images.html
