Перейти до змісту

Розслідування за кількома артефактами

Жоден артефакт не повинен самостійно обґрунтовувати важливий висновок. Ці порядки роботи показують, як перетворити зачіпку на обґрунтований ланцюжок доказів.

Виконання підозрілого виконуваного файлу

  1. Prefetch: встановіть збережений час запуску, контекст шляху/хешу, кількість запусків і завантажені файли.
  2. $MFT: знайдіть шлях, розмір, часові позначки, ADS, стан видалення та посилання MFT.
  3. Журнал USN: відтворіть створення, записи, перейменування та видалення.
  4. Amcache: додайте SHA-1, метадані PE, версію та історичний шлях.
  5. ShimCache: додайте шлях/порядок у кеші сумісності та прапорець виконання, якщо він підтримується.
  6. SRUM: шукайте використання ресурсів/мережі тим самим виконуваним файлом/користувачем.
  7. Defender: перевірте час поміщення в карантин, вихідний шлях, хеш і джерело завантаження.
  8. Журнали подій/EDR: визначте батьківський процес, командний рядок, обліковий запис, мережевий контекст і контекст безпеки.

Висновок має розрізняти наявність файлу, виконання та атрибуцію конкретній особі чи вторгненню.

Файлова активність програм-вимагачів

  1. Визначте розширення зашифрованих файлів і шляхи постраждалих файлів у $MFT.
  2. Використовуйте причини та порядок записів USN, щоб відтворити масові записи/перейменування/видалення.
  3. Використовуйте Prefetch, щоб визначити ймовірні шифрувальники та час їхнього запуску.
  4. Використовуйте SRUM, щоб виявити сплески навантаження на ЦП/диск/мережу з боку ймовірного процесу.
  5. Перевірте служби та TaskCache на ознаки розгортання/закріплення.
  6. Перевірте карантин Defender і журнали подій на ознаки виявлення/усунення.

MFT/USN можуть довести вплив на файлову систему, навіть якщо не зберігся жоден артефакт виконання. Як правило, вони не ідентифікують відповідальний процес без телеметрії процесів або зіставлення.

Початковий доступ через шкідливий документ / ярлик

  1. RecentDocs і Jump Lists визначають взаємодію користувача/програми та контекст MRU.
  2. Розберіть відповідний файл LNK з папки Recent, щоб отримати ціль, том/спільну папку, посилання MFT і аргументи.
  3. Використовуйте Zone.Identifier з резидентного ADS у $MFT або вміст Defender, щоб отримати URL-адреси/зони походження.
  4. Використовуйте Prefetch/журнали подій для програми, що відкрила документ, і дочірніх процесів.
  5. Використовуйте USN/MFT, щоб простежити створення та видалення витягнутого корисного навантаження.

Закріплення через службу

  1. Декодуйте назву служби, ImagePath, ServiceDll, обліковий запис, тип запуску та дії в разі збою.
  2. Розгорніть змінні середовища та врахуйте поведінку шляхів у лапках і без лапок.
  3. Знайдіть виконуваний файл/DLL у $MFT та історії USN.
  4. Перевірте Prefetch і журнали подій на ознаки фактичного запуску служби/процесу.
  5. Порівняйте непоточні набори керування та відновлені записи реєстру, щоб виявити попередню конфігурацію.

Закріплення через заплановане завдання

  1. Декодуйте дії TaskCache, суб'єкта/контекст, метадані реєстрації/виконання та прихований стан.
  2. Порівняйте з XML у C:\Windows\System32\Tasks.
  3. Зіставте назву/GUID завдання з подіями Security і Task Scheduler Operational.
  4. Знайдіть виконуваний файл/сценарій і обчисліть його хеш; перевірте Prefetch та історію файлової системи.
  5. Відновіть видалені записи TaskCache, якщо завдання було видалено.

Підозра на викрадення даних

  1. Використовуйте SRUM, щоб виявити незвичний обсяг надісланих байтів за програмою/користувачем/профілем і період вимірювання.
  2. Підтвердьте ідентичність виконуваного файлу за допомогою Prefetch, Amcache і $MFT.
  3. Визначте файли, до яких відбувався доступ або які відкривалися, за допомогою Jump Lists, LNK, RecentDocs і даних подій/EDR.
  4. Використовуйте телеметрію проксі, брандмауера, DNS, пакетів або EDR, щоб визначити адресата/протокол.

Обсяг даних у SRUM підтримує гіпотезу про викрадення даних, але сам по собі не ідентифікує переданий вміст і не доводить зловмисного наміру.

Ключі зіставлення, які варто зберігати

Ключ Артефакти
Повний шлях / ім'я файлу Майже кожен артефакт
SHA-1 / SHA-256 Amcache, Defender, відновлені файли
Номер запису MFT + порядковий номер $MFT, Prefetch, LNK, Jump Lists, USN
USN Amcache, $MFT, журнал USN
Серійний номер тому / droid-ідентифікатори Prefetch, LNK, Jump Lists, ідентифікатори об'єктів MFT
SID / ім'я користувача SRUM, SAM, реєстр, журнали подій
GUID завдання / назва завдання TaskCache, XML завдань, журнали подій
Назва служби Служби, журнали подій, дані процесів/драйверів
EntryId / ScanId Defender Карантин, історія Defender, журнали подій