16章

Mission-1

想定事案（Mission-1, 2 共通）

マルウェア感染が疑われるPCから保全したMFTの調査を行います。

以下の状況とします。

1. PCのイベントログより、2023年6月14日10時46分ころ、PowerShellスクリプトで外部から不審なファイルがダウンロードされた履歴を確認した。

   • ダウンロードされたファイル

     C:\Users\user-sales01\Downloads\sample.jpg
     

2. 上記ファイル（sample.jpg）のハッシュ値により情報収集したところ、次のような攻撃が観測されていることが判明した。

   • ダウンロード後、PowerShellスクリプトにより「sample.jpg」を別のフォルダにコピーする。
     • 同ファイルの内容は、拡張子を画像のように偽装した、実行形式のマルウェア
   • コピーしたファイルを、拡張子が「.exe」である別ファイル名にリネームし、起動する。
   • 起動されたマルウェアは、感染したPC内に自己複製ファイルを作成し、ごみ箱（$Recycle.Binフォルダ）へ移動して隠匿する。
   • コピーしたファイルおよび自己複製ファイルは、「sample.jpg」とハッシュ値が一致する。
     

調査対象の保全データ

$MFTファイルは、演習データの次の相対パスに保存されています。なお、Hands-on-2と共通データのため、すでにパース済みであれば、あらためてパースする必要はありません。

s16/h2_m1-2/C_$MFT

設問

上記$MFTファイルを解析し、以下の設問の回答をFlagとして入力して下さい。

• PowerShellスクリプトによりコピーされたファイルを調査し、同ファイルのフルパスを回答して下さい。　

  • Flag入力例：C:\sample\test\malcopy.exe

Hint