17章

Mission-1

想定事案（Mission-1, 2 共通）

マルウェア感染が疑われるPCから保全した、USNジャーナルとMFTの調査を行います（いずれも、すでにCDIR-Aでパース済みとします）。

• 調査対象PCのRUNキーには、次の不審な実行ファイルが永続化されていました。

  C:\ProgramData\sys_f3b3c2e409a3\svchost.exe

• Amcacheから上記実行ファイルのハッシュ値を取得して、インターネットのIoC情報を検索したところ、以下の挙動が観測されていました。

  1. Maldocを開くことにより、外部から実行ファイルが着弾する。
  2. 着弾した実行ファイル（Ａ）は、初期プロセスとして起動された後、自己複製を行う。
  3. 自己複製で作成されたファイル（Ｂ）は、新たなプロセスとして起動され、初期プロセスは終了する。
  4. 着弾した実行ファイル（Ａ）は、新たなプロセスによりごみ箱（$Recycle.Bin）へ移動される。
  5. 新たなプロセスは、自己複製で作成されたファイル（Ｂ）をRUNキーに登録して永続化する。

調査対象のパースデータ（CSV）

このハンズオンで解析対象とするUSNジャーナルおよびMFTは、CDIR-Aでパース済みのCSVファイルとして、演習データの以下の相対パスに保存されています（※ハンズオンをスムーズに進めるため、実際のパース結果から必要部分のみ抜粋しています）。

s17\m1-2\C_$UsnJrnl-$J_output.slim.csv

s17\m1-2\C_$MFT_output.slim.csv

設問

パース済みのUSNジャーナルとMFTを解析し、以下の設問の回答をFlagとして入力して下さい。

• 着弾した実行ファイル（Ａ）について、フルパスを特定して下さい。　

  • Flag入力例：C:\sample\test\1234.exe

Hint