Artefaktübergreifende Untersuchungen¶

Kein Artefakt sollte eine wichtige Schlussfolgerung allein tragen. Diese Abläufe zeigen, wie aus einem Ansatzpunkt eine belastbare Beweiskette wird.

Ausführung einer verdächtigen ausführbaren Datei¶

Prefetch: gespeicherte Ausführungszeit, Pfad-/Hash-Kontext, Ausführungsanzahl und geladene Dateien feststellen.
$MFT: Pfad, Größe, Zeitstempel, ADS, Löschstatus und MFT-Referenz ermitteln.
USN-Journal: Erstellung, Schreibvorgänge, Umbenennung und Löschung rekonstruieren.
Amcache: SHA-1, PE-Metadaten, Version und historischen Pfad ergänzen.
ShimCache: Pfad/Reihenfolge im Kompatibilitätscache und unterstütztes Ausführungsflag ergänzen.
SRUM: nach Ressourcen-/Netzwerknutzung durch dieselbe ausführbare Datei bzw. denselben Benutzer suchen.
Defender: Quarantänezeitpunkt, ursprünglichen Pfad, Hash und Download-Herkunft prüfen.
Ereignisprotokolle/EDR: übergeordneten Prozess, Befehlszeile, Konto, Netzwerk und Sicherheitskontext ermitteln.

Die Schlussfolgerung sollte zwischen Vorhandensein der Datei, Ausführung und Zuordnung zu einer Person oder einem Angriff unterscheiden.

Dateiaktivität von Ransomware¶

Ermitteln Sie verschlüsselte Erweiterungen und betroffene Pfade in $MFT.
Verwenden Sie USN-Gründe und -Reihenfolge, um massenhafte Schreibvorgänge/Umbenennungen/Löschungen zu rekonstruieren.
Verwenden Sie Prefetch, um mögliche Verschlüsselungsprogramme und Ausführungszeiten zu ermitteln.
Verwenden Sie SRUM für CPU-/Datenträger-/Netzwerkspitzen des verdächtigen Prozesses.
Prüfen Sie Dienste und TaskCache auf Verteilung/Persistenz.
Prüfen Sie Defender-Quarantäne und Ereignisprotokolle auf Erkennung/Bereinigung.

MFT/USN können Auswirkungen auf das Dateisystem belegen, selbst wenn kein Ausführungsartefakt erhalten ist. Sie identifizieren den verantwortlichen Prozess im Allgemeinen nicht ohne Prozesstelemetrie oder Korrelation.

Erstzugriff über bösartige Dokumente / Verknüpfungen¶

RecentDocs und Jump Lists zeigen Benutzer-/Anwendungsinteraktion und MRU-Kontext.
Parsen Sie die passende LNK im Ordner „Recent“ auf Ziel, Volume/Freigabe, MFT-Referenz und Argumente.
Verwenden Sie Zone.Identifier aus residenten ADS in $MFT oder Defender-Inhalten für Herkunfts-URLs/-Zonen.
Verwenden Sie Prefetch/Ereignisprotokolle für die Dokumentanwendung und untergeordnete Prozesse.
Verwenden Sie USN/MFT, um Erstellung und Löschung extrahierter Payloads zu verfolgen.

Persistenz über Dienste¶

Dekodieren Sie Dienstname, ImagePath, ServiceDll, Konto, Starttyp und Fehleraktionen.
Lösen Sie Umgebungsvariablen und das Verhalten von Pfaden mit/ohne Anführungszeichen auf.
Lokalisieren Sie die ausführbare Datei/DLL in $MFT und im USN-Verlauf.
Prüfen Sie Prefetch und Ereignisprotokolle auf tatsächlichen Dienst-/Prozessstart.
Vergleichen Sie nicht aktuelle Control Sets und wiederhergestellte Registry-Datensätze auf frühere Konfigurationen.

Persistenz über geplante Aufgaben¶

Dekodieren Sie TaskCache-Aktionen, Prinzipal/Kontext, Registrierungs-/Laufzeitmetadaten und verborgenen Status.
Vergleichen Sie mit dem XML in C:\Windows\System32\Tasks.
Korrelieren Sie Aufgabenname/-GUID mit Security-Ereignissen und Ereignissen aus dem Operational-Protokoll des Aufgabenplaners.
Lokalisieren und hashen Sie die ausführbare Datei bzw. das Skript; prüfen Sie Prefetch und den Dateisystemverlauf.
Stellen Sie gelöschte TaskCache-Datensätze wieder her, falls die Aufgabe entfernt wurde.

Verdacht auf Exfiltration¶

Verwenden Sie SRUM, um ungewöhnlich viele gesendete Bytes nach App/Benutzer/Profil und den Messzeitraum zu ermitteln.
Bestätigen Sie die Identität der ausführbaren Datei mit Prefetch, Amcache und $MFT.
Ermitteln Sie zugegriffene/geöffnete Dateien über Jump Lists, LNK, RecentDocs und Ereignis-/EDR-Daten.
Verwenden Sie Telemetrie von Proxy, Firewall, DNS, Paketmitschnitten oder EDR für Ziel/Protokoll.

Das Datenvolumen in SRUM stützt eine Exfiltrationshypothese, identifiziert aber weder übertragene Inhalte noch beweist es für sich genommen eine böswillige Absicht.

Korrelationsschlüssel, die es zu bewahren lohnt¶

Schlüssel	Artefakte
Vollständiger Pfad / Dateiname	Fast jedes Artefakt
SHA-1 / SHA-256	Amcache, Defender, wiederhergestellte Dateien
MFT-Eintrag + Sequenz	`$MFT`, Prefetch, LNK, Jump Lists, USN
USN	Amcache, `$MFT`, USN-Journal
Volume-Seriennummer / Droids	Prefetch, LNK, Jump Lists, MFT-Objekt-IDs
SID / Benutzername	SRUM, SAM, Registry, Ereignisprotokolle
Aufgaben-GUID / Aufgabenname	TaskCache, Aufgaben-XML, Ereignisprotokolle
Dienstname	Dienste, Ereignisprotokolle, Prozess-/Treiberdaten
Defender EntryId / ScanId	Quarantäne, Defender-Verlauf, Ereignisprotokolle