سناریوی تحلیل جرم‌یابی WannaCry سال ۲۰۱۷ با EZ Tools:
زمینه: در می ۲۰۱۷، باج‌افزار WannaCry هزاران سیستم در سراسر جهان را آلوده کرد. این بدافزار با سوءاستفاده از آسیب‌پذیری EternalBlue (در SMBv1) گسترش می‌یافت و پس از نفوذ، فایل‌ها را رمز می‌کرد.
چگونه می‌توان این رویداد را با EZ Tools بررسی کرد:
1. ابزار EvtxECmd (بررسی لاگ‌های سیستم):
* تحلیل فایل‌های .evtx در مسیرهایی مانند `C:\Windows\System32\winevt\Logs\System.evtx یا Security.evtx برای یافتن event IDهایی مانند:
* 4624 (ورود موفق)
* 4673 و 4674 (اجرای فرآیندهای حساس)
* 7045 (ایجاد سرویس جدید توسط WannaCry)
* جستجوی آثار اجرای tasksche.exe یا @WanaDecryptor@.exe.
2. ابزار PECmd (تحلیل Prefetch):
* بررسی اجرای فایل‌هایی مثل tasksche.exe یا @WanaDecryptor@.exeدر Prefetch که نشان‌دهنده اجرای بدافزار روی سیستم است.
3.ابزارMFTECmd (بررسی MFT):
* تحلیل تغییرات در فایل‌سیستم NTFS برای شناسایی زمان ایجاد فایل‌های WannaCry و رفتارهای مشکوک مثل حذف فایل‌ها.
4. ابزارRECmd (تحلیل رجیستری):
* تحلیل مسیرهایی مثل Run یا RunOnce برای یافتن بقایای ماندگاری (persistence).
* بررسی کلیدهایی که نشان‌دهنده تنظیمات رمزگذاری یا مسیر اجرای فایل‌های مخرب هستند.
#آکادمی_روزبه
زمینه: در می ۲۰۱۷، باج‌افزار WannaCry هزاران سیستم در سراسر جهان را آلوده کرد. این بدافزار با سوءاستفاده از آسیب‌پذیری EternalBlue (در SMBv1) گسترش می‌یافت و پس از نفوذ، فایل‌ها را رمز می‌کرد.
چگونه می‌توان این رویداد را با EZ Tools بررسی کرد:
1. ابزار EvtxECmd (بررسی لاگ‌های سیستم):
* تحلیل فایل‌های .evtx در مسیرهایی مانند `C:\Windows\System32\winevt\Logs\System.evtx یا Security.evtx برای یافتن event IDهایی مانند:
* 4624 (ورود موفق)
* 4673 و 4674 (اجرای فرآیندهای حساس)
* 7045 (ایجاد سرویس جدید توسط WannaCry)
* جستجوی آثار اجرای tasksche.exe یا @WanaDecryptor@.exe.
2. ابزار PECmd (تحلیل Prefetch):
* بررسی اجرای فایل‌هایی مثل tasksche.exe یا @WanaDecryptor@.exeدر Prefetch که نشان‌دهنده اجرای بدافزار روی سیستم است.
3.ابزارMFTECmd (بررسی MFT):
* تحلیل تغییرات در فایل‌سیستم NTFS برای شناسایی زمان ایجاد فایل‌های WannaCry و رفتارهای مشکوک مثل حذف فایل‌ها.
4. ابزارRECmd (تحلیل رجیستری):
* تحلیل مسیرهایی مثل Run یا RunOnce برای یافتن بقایای ماندگاری (persistence).
* بررسی کلیدهایی که نشان‌دهنده تنظیمات رمزگذاری یا مسیر اجرای فایل‌های مخرب هستند.
#آکادمی_روزبه
Comments
Be the first to add a comment
Log in to comment