Để giúp những người (️) mới bắt đầu hành trình trong lĩnh vực DFIR, chúng tôi đang bắt đầu một “Dòng DFIR Zero To Hero”, trong đó chúng tôi sẽ cung cấp một tình huống Điều tra. Ngoài ra, chúng tôi cũng sẽ cung cấp một bản viết cho kịch bản Điều tra nơi chúng tôi sẽ chia sẻ cách tiếp cận của mình.

Trường hợp-0 : Điều tra công cụ truy cập từ xa Phần-1

Bối cảnh trường hợp:

Nhân viên mới vừa gia nhập công ty với tư cách là Nhà phát triển web. Công ty nghi ngờ rằng nhân viên mới tham gia đã sử dụng Công cụ truy cập từ xa và do đó muốn xác minh việc sử dụng công cụ đó và cũng muốn kiểm tra xem nhân viên bị nghi ngờ đã thực hiện những hoạt động nào khác. Bất kỳ nhân viên nào tham gia với tư cách là nhà phát triển web, công ty đều cho phép họ sử dụng các phần mềm khác nhau như XAMPP, Sublime Text Editor [Vì hầu hết thời gian công ty sử dụng PHP & JavaScript để phát triển web] nhưng họ không được phép sử dụng bất kỳ Công cụ truy cập từ xa nào và các công cụ khác phần mềm không phù hợp với mô tả công việc. Vì vậy, công ty đã cung cấp hình ảnh đĩa cho máy bị nghi ngờ và yêu cầu bạn thực hiện phân tích pháp y.

Bạn có thể tải xuống Disk Image bằng cách truy cập liên kết sau:

Hãy xem tôi sẽ thực hiện phương pháp nào nếu vụ án này được giao cho tôi điều tra.

Suy nghĩ ban đầu

Vì vậy, dựa trên nền tảng của trường hợp, chúng ta cần làm những việc sau.

Kiểm tra xem nghi phạm có sử dụng bất kỳ công cụ truy cập từ xa nào không

Kiểm tra cài đặt của phần mềm khác không phù hợp với JD

Lập kế hoạch

1. Điều đầu tiên chúng ta sẽ thực hiện xử lý ảnh bằng công cụ bạn chọn, ở đây tôi đang sử dụng KAPE.
2. Để thực thi Công cụ truy cập từ xa , chúng tôi sẽ kiểm tra các tệp Tìm nạp trước , Amcache và Nhật ký sự kiện.
3. Để cài đặt các phần mềm khác nhau , chúng tôi sẽ xem xét Nhật ký sự kiện.

Phần phân loại:

Hãy bắt đầu với KAPE Triage. Đầu tiên gắn ổ đĩa bằng cách sử dụng bộ đếm hình ảnh kho vũ khí. chúng tôi sẽ sử dụng KAPE CLI để thu thập Nhật ký sự kiện, MFT, USNJrnl, Amcache, Prefetch.

kape.exe --tsource “D:” --tdest “C:\Collection\Target” --target EventLogs,EvidenceOfExecution,FileSystem

      
                

                    
                    
                
            

      
                

                    
                    
                
            

Bây giờ hãy phân tích dữ liệu thu được bằng KAPE. (công cụ eric zimmerman)

kape.exe --msource "C:\Collection\Target" --mdest "C:\Collection\Module" --module MFTECmd,AmcacheParser,EvtxECmd,PECmd

      
                

                    
                    
                
            

      
                

                    
                    
                
            

Vì vậy, dựa trên nền tảng của trường hợp, chúng tôi cần tìm kiếm các công cụ truy cập từ xa để có thể tìm kiếm các công cụ như Anydesk, Teamviewer, Getscreen.me, screenconnect, UltraVNC, AnyViewer.

Chúng ta có thể bắt đầu với phân tích prefetchfile. Người ta có thể hỏi tại sao tìm nạp trước tệp trước? câu trả lời rất đơn giản là.

Tìm nạp trước không tồn tại trừ khi thứ gì đó đã chạy ít nhất một lần

1. Vì vậy, hãy mở đầu ra tệp tìm nạp trước đã phân tích cú pháp bằng Timeline Explorer.
2. Trong trường Tên thực thi, hãy tìm kiếm các công cụ truy cập từ xa khác nhau.

Tập thể dục cho bạn

Vì chúng tôi đã tìm thấy các phiên bản của công cụ truy cập từ xa (Anydesk), chúng tôi có thể kiểm tra các thành phần tạo tác khác như Amcache & Eventlogs để tạo Dòng thời gian cho các sự kiện.

Tương tự, chúng ta có thể kiểm tra Nhật ký sự kiện để trả lời xem có phần mềm nào bị nghi ngờ cài đặt hay không.

Bạn có thể chia sẻ các bài viết, suy nghĩ của mình liên quan đến “DFIR Zero To Hero series” này qua email ( [email protected] ).