12章

Mission

問題

調査対象PCから保全したプリフェッチファイルを解析して、不審なプログラムの実行履歴を調査するMissionです。 調査対象のプリフェッチファイルは 、演習用データの以下の相対パスに保全されています。

s12\m1\SALES32_20210323155842\Prefetch

このMissionでは、調査対象PCから発見されたマルウェア「A86.exe」の感染状況を調査します。「A86.exe」のサンドボックス調査により、このマルウェアは次のような動作を行うことが判明したものと想定します。

1. 実行ファイルが最初に起動（初回プロセス）された際は、PCの実行環境や通信状況などを確認した後、自分自身を複製した実行ファイルを作成し、ユーザープロファイル内のtempフォルダへ保存する
2. 初回プロセスは、複製した実行ファイルを起動（複製プロセス）した後に終了する
3. 複製プロセスは、自分自身の実行ファイルパス（tempフォルダ）から複製であることを認識し、複製した実行ファイルを永続化して感染活動を開始する

つまり、感染活動によって発見された「A86.exe」は、永続化された複製の実行ファイルと考えられます。

それとは別に、感染の原因となったオリジナルの実行ファイルを見つけて下さい。

実行日時や実行ファイルパス、使用リソース（A86.exeと共通するもの）に着目して調査を行いましょう。

Flagは、オリジナルの実行ファイルのファイル名（フォルダ名は省略）を回答して下さい。

• 回答例：malware.exe 　（※ アルファベットの大文字／小文字は問いません）

Hint