التحقيق عبر عدة آثار رقمية

لا ينبغي لأي أثر رقمي أن يحمل وحده استنتاجًا مهمًا. توضح مسارات العمل هذه كيفية تحويل خيط تحقيقي إلى سلسلة أدلة يمكن الدفاع عنها.

تنفيذ ملف تنفيذي مريب

1. Prefetch: حدّد أوقات التشغيل المحفوظة، وسياق المسار/التجزئة، وعدد مرات التشغيل، والملفات المحمّلة.
2. $MFT: اعثر على المسار، والحجم، والطوابع الزمنية، وADS، وحالة الحذف، ومرجع MFT.
3. دفتر يومية USN: أعد بناء الإنشاء، والكتابة، وإعادة التسمية، والحذف.
4. Amcache: أضف SHA-1، والبيانات الوصفية لـ PE، والإصدار، والمسار التاريخي.
5. ShimCache: أضف مسار/ترتيب ذاكرة التوافق المؤقتة وعلامة التنفيذ المدعومة.
6. SRUM: ابحث عن استخدام الموارد/الشبكة من قِبل الملف التنفيذي/المستخدم نفسه.
7. Defender: افحص وقت الحجر، والمسار الأصلي، والتجزئة، ومصدر التنزيل.
8. سجلات الأحداث/EDR: حدّد العملية الأب، وسطر الأوامر، والحساب، والشبكة، والسياق الأمني.

ينبغي أن يميّز الاستنتاج بين وجود الملف، وتنفيذه، والإسناد إلى شخص أو عملية اختراق.

نشاط برامج الفدية على الملفات

1. حدّد الامتدادات المشفرة ومسارات الضحايا في $MFT.
2. استخدم أسباب USN وترتيبها لإعادة بناء عمليات الكتابة/إعادة التسمية/الحذف الجماعية.
3. استخدم Prefetch لتحديد برامج التشفير المرشحة وأوقات تشغيلها.
4. استخدم SRUM لرصد ارتفاعات استخدام المعالج/القرص/الشبكة من قِبل العملية المرشحة.
5. افحص الخدمات وTaskCache بحثًا عن النشر/الاستمرارية.
6. افحص حجر Defender وسجلات الأحداث بحثًا عن الاكتشاف/المعالجة.

يمكن لـ MFT/USN إثبات التأثير على نظام الملفات حتى عندما لا يبقى أي أثر رقمي للتنفيذ. لكنهما عمومًا لا يحددان العملية المسؤولة دون بيانات قياس العمليات أو الربط.

الوصول الأولي عبر مستند / اختصار ضار

1. تحدد RecentDocs وJump Lists تفاعل المستخدم/التطبيق وسياق MRU.
2. حلّل ملف LNK المطابق في مجلد Recent لمعرفة الهدف، ووحدة التخزين/المشاركة، ومرجع MFT، والوسيطات.
3. استخدم Zone.Identifier من ADS المقيم في $MFT أو من محتوى Defender لمعرفة عناوين URL/المناطق المصدر.
4. استخدم Prefetch/سجلات الأحداث لتطبيق المستند والعمليات الفرعية.
5. استخدم USN/MFT لتتبع إنشاء الحمولة المستخرجة وحذفها.

الاستمرارية عبر الخدمات

1. فك ترميز اسم الخدمة، وImagePath، وServiceDll، والحساب، ونوع البدء، وإجراءات الفشل.
2. حلّ متغيرات البيئة وسلوك المسارات المحاطة/غير المحاطة بعلامات اقتباس.
3. حدّد موقع الملف التنفيذي/ملف DLL في $MFT وسجل USN.
4. افحص Prefetch وسجلات الأحداث بحثًا عن البدء الفعلي للخدمة/العملية.
5. قارن مجموعات التحكم غير الحالية وسجلات سجل Windows المستردة بحثًا عن تكوين سابق.

الاستمرارية عبر المهام المجدولة

1. فك ترميز إجراءات TaskCache، والجهة الأساسية/السياق، والبيانات الوصفية للتسجيل/التشغيل، والحالة المخفية.
2. قارن مع ملفات XML في C:\Windows\System32\Tasks.
3. اربط اسم المهمة/معرّف GUID الخاص بها مع أحداث Security وTask Scheduler Operational.
4. حدّد موقع الملف التنفيذي/النص البرمجي واحسب تجزئته؛ وافحص Prefetch وسجل نظام الملفات.
5. استرد سجلات TaskCache المحذوفة إن كانت المهمة قد أُزيلت.

الاشتباه في تسريب البيانات

1. استخدم SRUM لتحديد البايتات المرسلة غير المعتادة حسب التطبيق/المستخدم/ملف التعريف وفترة القياس.
2. أكّد هوية الملف التنفيذي باستخدام Prefetch وAmcache و$MFT.
3. حدّد الملفات التي جرى الوصول إليها/فتحها عبر Jump Lists وLNK وRecentDocs وبيانات الأحداث/EDR.
4. استخدم بيانات الوكيل أو الجدار الناري أو DNS أو الحزم أو EDR لمعرفة الوجهة/البروتوكول.

يدعم حجم البيانات في SRUM فرضية التسريب، لكنه لا يحدد المحتوى المنقول ولا يثبت النية الخبيثة في حد ذاته.

مفاتيح الربط التي تستحق الحفظ

المفتاح	الآثار الرقمية
المسار الكامل / اسم الملف	جميع الآثار الرقمية تقريبًا
SHA-1 / SHA-256	Amcache، Defender، الملفات المستردة
إدخال MFT + رقم التسلسل	$MFT، Prefetch، LNK، Jump Lists، USN
USN	Amcache، $MFT، دفتر يومية USN
الرقم التسلسلي لوحدة التخزين / معرّفات droid	Prefetch، LNK، Jump Lists، معرّفات الكائنات في MFT
SID / اسم المستخدم	SRUM، SAM، سجل Windows، سجلات الأحداث
معرّف GUID للمهمة / اسم المهمة	TaskCache، ملفات XML للمهام، سجلات الأحداث
اسم الخدمة	الخدمات، سجلات الأحداث، بيانات العمليات/برامج التشغيل
EntryId / ScanId في Defender	الحجر، سجل Defender، سجلات الأحداث