14章

Mission-1

想定事案をもとに、調査対象PCから保全した各種アーティファクトを解析するMissionです。

想定事案

1. 組織内で使用するPCから、情報流出が発覚した。

2. 人為的な内部からの流出ではなく、外部からのマルウェア感染が原因と推定されるが、アンチウイルスソフトウェアのスキャンでは検知されず、感染状況は現在のところ不明である。

3. ファストフォレンジックを実施することとし、調査対象PCから必要なデータを保全した。

4. 保全したWMIリポジトリをパースしたところ、次の不審なエントリが確認された。

   Enumerating FilterToConsumerBindings...
   2 FilterToConsumerBinding(s) Found. Enumerating Filters and Consumers...
   
     Bindings:
   
       start_svchost-start_svchost
         Consumer: 
           Consumer Type: CommandLineEventConsumer
           Arguments:     c:\programdata\sys_f3b3c2e409a3\svchost.exe
           Consumer Name: start_svchost
   
         Filter: 
           Filter name:  start_svchost
           Filter Query: SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_LocalTime' AND TargetInstance.Hour = 09 AND TargetInstance.Minute = 00 GROUP WITHIN 60
   

5. 上記不審なエントリの実行ファイルは、すでに削除されていた。

   
   

設問

WMIで永続化されていた実行ファイルについて、次の調査を実施して下さい。

• 永続化されていた実行ファイルの設置原因と考えられる、外部からのダウンロードファイルを特定して下さい。Flagは、ダウンロード時のファイル名を回答して下さい。　
  • Flag入力例：abcdefg.txt
    

調査対象の保全データ

演習用データの次の相対パスに保存されています。

s14\m1

Hint