У меня сегодня было ну просто изумительное утро. А все почему? И нет, не потому что форум начался, а потому что было время просто посидеть и просто почитать свежие репорты. Делюсь:

1. Ну, это классика, такое мы не пропускаем / TheDFIRReport

2. TeamTNT со своими майнерами и открытыми портами докера начали использовать Sliver. Растут! / Aqua Nautilus

3. PhaseShifters, они же Sticky Werewolf, если хотите, главное, что актуально для ру. Читать можно сразу вместе с выступлением Димы на оффзоне. Отчет прям интересный: стеганография, все эти связи битбакета, скрины лендинга с продажей подписки на обфускаторы. Занимательно / PT ESC

4. Тут можно посмотреть, как LLM сама себя выдает при создании вредоносных страниц / Kaspersky

5. Ну очень плохая маскировка под локбит, изученная TrendMicro. А еще там есть AWS, который между прочим сразу заблокировал вредоносные учетные записи. Все бы провайдеры облачных услуг так делали)

6. Никогда такого не было, и вот опять. Еще один пример злонамеренного использования QEMU / Securonix

7. TaskCache от Solar 4RAYS. Про это мало кто говорит, особенно учитывая все нюансы скрытия задач в винде, а ребята подробно разложили все по полочкам, еще и плагином сдобрили. Лайк

Вечер перестает быть томным: минутка форензики вошла в чат. А вообще, если вы как-либо связаны с расследованием инцидентов, то вам не понаслышке знаком такой источник артефактов как Amcache.hve (%SystemRoot%\AppCompat\Programs\Amcache). Но знали ли вы, что

1. Evidence of presence: данный куст реестра хранит информацию об установленных приложениях, загруженных драйверах и выполненных или существующих в системе программах. То есть он не может быть использован для подтверждения, что определенный файл исполнялся в системе, без других источников данных

2. Указанный SHA1 не всегда является хешем самого файла. Если файл большого размера, берется хеш только от первых 30 МБ (31,457,280 байт)

3. А еще этот самый хеш по умолчанию содержит 4 нуля непосредственно перед самим значением. Новичков это может немного сбивать с толку

4. Имеет 2 формата хранения данных, при этом они оба могут использоваться в одном кусте реестра. Необходимо это учитывать и убедиться, что используемый инструментарий поддерживает оба варианта

5. Его предшественником был RecentFileCache.bcf (Amcache считается Win7+, однако на некоторых системах могут быть оба файла), у которого есть ряд странных ограничений. Например, туда пишутся далеко не все бинари (нет внешних, сетевых устройств, не во всех случаях обрабатывается %USERPROFILE%). Но еще грустнее от того, что данный источник артефактов не содержит хешей, таких ценных и порой чрезвычайно важных в процессе расследования. Но не все знают, что тот самый хеш есть шанс достать из файла AEINV_WER — AEINV_WER_{MachineId}_YYYYMMDD_HHmmss.xml, который может быть в той же директории

6. Данные обновляются не только при непосредственном исполнении PE-файла, но и запланированными задачами ProgramDataUpdater и Microsoft Compability Appraiser. Это может помочь при восстановлении хронологии событий, если точных временных меток нет

В целом, у меня все, но если хочется хардкора и поизучать всевозможные поля, то вот

Делюсь еще одной рекомендацией: не знаю, как это работает, но у ребят из гиба однозначно талант к написанию книг (и, видимо, демонстрации целеустремленности, выдержки и упорства. я тут постик в канал-то написать неделями собираюсь😁)

Очень много кейсстади (кое-где даже после можно попробовать сделать выводы самим), ссылок по тексту с примерами из репортов (пусть и преимущественно гибовских, такое мы читаем), а также распространенные ошибки и стоп-факторы из жизни, с которыми можно столкнуться

Так что походу скоро придется расширять списочек. Ребята, спасибо!

Пока я тут умиляюсь комментарию (который, на удивление, оставила даже не я), для новеньких еще раз оставлю ссылку на склад всяких книжек. Те самые из эфира тоже там есть :)

Сегодня вообще день TI-вебинаров: сейчас слушаем бизонов, дальше идем к PT ESC. Хорошо, что мониторов много, а то когда работать-то??