Practice. Практическое задание

1.

Practice

2.

Практическое задание
Системный администратор в одной компании зашел на главную страницу вебсервера, поднятого им же на его рабочем компьютере. Измененный заголовок
неоднозначно сообщил ему, что его взломали. Залогинившись под своей учетной
записью он увидел измененный фон рабочего стола. Также часть файлов оказалась
зашифрована.
Задание:
1. Определить точку входа злоумышленника;
2. Расшифровать файлы (если это невозможно - доказать);
3. Построить подробный таймлайн инцидента.
2

3.

Практическое задание. Симптомы
заражения
3

4.

Практическое задание. Симптомы заражения (2)
4

5.

Практическое задание
Задание:
1. Определить точку входа злоумышленника;
2. Расшифровать файлы (если это возможно);
3. Построить подробный таймлайн инцидента.
5

6.

Практическое задание. Some information
Утилиты:
1. EventLogExplorer – более удобная, чем стандартные средства, утилита для просмотра логов;
2. dnSpy – утилита для декомпилирования исполняемых файлов, написанных на .NET. Здесь есть
некоторый хинт для решения ;
3. Autopsy – фреймворк для анализа образов;
4. SysinternalsSuite – общеизвестный пак утилит от Microsoft, что-то может понадобиться;
5. analyzeMFT – скрипт для анализа MFT (Python);
6. FTK Imager – неплохая утилита для монтирования образа. Пользоваться им или AIM – вопрос
вкуса, можно попробовать и то, и то.
6