تحلیل فارنزیک از طریق آرتیفکت‌های کرش: فراتر از لاگ‌های امنیتی

کرش ابزارهای تهاجمی، نشانه هایی با اطمینان خوب برای تیم‌های SOC و IR تولید می‌کند. تحلیلگران باید لاگ‌های Application Crash (Event ID 1000) و گزارش‌های Windows Error Reporting (WER - Event ID 1001) را به عنوان شواهد فارنزیک، و نه صرفاً خطاهای سیستمی، بررسی کنند. این رویدادها، به ویژه در مورد فایل‌هایی با نام‌های مشکوک در مسیرهای غیر استاندارد (مانند lsasss64.exe در C:\Temp)، نشان‌دهنده تکنیک‌های Masquerading (T1036.005) هستند.

کلید تحلیل، فایل Report.wer است که در مسیر C:\ProgramData\Microsoft\Windows\WER یافت می‌شود. این آرتیفکت حاوی اطلاعات حیاتی از جمله هش SHA1 باینری مخرب و لیست ماژول‌های بارگذاری شده (Loaded Modules) در لحظه کرش است. هش استخراج شده، شناسایی قطعی بدافزار از طریق پلتفرم‌های Threat Intelligence را ممکن ساخته و به تشخیص تاکتیک‌هایی نظیر LSASS Memory Dumping (T1003.001) کمک می‌کند.

این رویکرد، لایه‌ای عمیق از شکار تهدید مبتنی بر هاست را فراهم می‌کند که اغلب توسط ابزارهای SIEM سنتی نادیده گرفته می‌شود و به کشف فعالیت‌های پنهان مهاجم، حتی پس از پاکسازی، منجر می‌گردد.



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290