---
# System prepended metadata

title: Компьютерная экспертиза. Лабораторная работа №2.

---

# Компьютерная экспертиза. Лабораторная работа №2.
:::info
Работа выполнена студентом 3 курса учебной группы БСБО-04-19 Чайка Егором
:::
**Содержание**
1. Цель работы
2. Входные данные
3. Задание
4. Выполнение работы
5. Бонус 1
6. Бонус 2
# Цель работы
Получить навыки расследования кибер-инцидентов средствами утилит форензики, поиска следов злоумышленника в системе.
# Входные данные
Образ диска Windows 10, пользователь которого подвергся фишинговой атаке через электронную почту и потерял аккаунты, сохранённые в браузере.
# Задание
1. Обнаружить фишинговое письмо
2. Обнаружить вредоносный код и проанализировать его действие
3. Выявить, какие данные были скомпрометированы
# Выполнение работы
Сначала необходимо получить доступ к электронной почте пользователя, чтобы убедиться в наличии фишинговой атаки. Пользователь использовал Microsoft Outlook, сразу же заходим туда.

![](https://i.imgur.com/YGX1yBO.png)

Как видим, в ящике ровно одно письмо, откроем его и изучим содержимое. Можно быть на 100% уверенным, что это то самое фишинговое письмо, так как оно выглядит сделанным по шаблону: "поддержка" присылает подозрительный файл и просит исполнить его, не вдаваясь в подробности работы данного файла.

![](https://i.imgur.com/e0UvDOv.png)

Скачаем этот файл (можно не беспокоиться о безопасности, так как это .txt файл и его прочтение нам не навредит) и откроем его.

![](https://i.imgur.com/tpQTe9o.png)

Изучив содержимое файла и вспомнив указание в письме запустить файл с расширением *ps1*, становится ясно, что это скрипт, написанный для выполнения в PowerShell. При выполнении этот скрипт создаёт нового локального пользователя *WildRusHacker* с паролем *Qq123456*, создаёт папку по указанному пути и перемещает туда *Login Data*, то есть файл в котором находятся сохранённые пароли Google Chrome. Откроем эту папку и убедимся, что этот файл действительно находится там.

![](https://i.imgur.com/kcqAarL.png)

Переместим этот файл в изначальное его расположение и запустим заранее скачанную программу *WebBrowserPassView*, с помощью которой можно увидеть все сохранённые логины и пароли во всех браузерах.

![](https://i.imgur.com/64u4fei.png)

![](https://i.imgur.com/d4383JN.png)

# Бонус
В качестве бонуса сделаю дамп оперативной памяти и проанализирую его. Делать дамп буду с помощью *BelkaSoft RAM Capturer*.

![](https://i.imgur.com/bZHDlpn.png)

Теперь установим *volatility*, подробная инструкция установки есть на гитхабе. Воспользуемся плагином *windows.pslist.PsList*, чтобы увидеть все сохранённые системные процессы. Можно увидеть наше обращение к проводнику, браузеру и некоторые системные процессы.

![](https://i.imgur.com/gXUmjDx.png)

![](https://i.imgur.com/d1IpCIN.png)

![](https://i.imgur.com/Asuynn2.png)

Теперь совершим несколько действий (например, откроем проводник через cmd, исполним файл из фишингового письма), снова сделаем дамп оперативной памяти и воспользуемся плагином *windows.cmdline.CmdLine*, для того, чтобы увидеть какие команды были использованы с помощью командной строки.

![](https://i.imgur.com/IXqzx2u.png)

# Бонус 2
Теперь выполним данную работу по правильному. Скачаем Autopsy, для анализа нашего VMDK образа без его запуска в виртуальной машине (может быть вариант внедрения в образ вредоносного кода, который получит права выше виртуальной машины и, таким образом, заразит наш рабочий ПК). Настроим в Autopsy анализ, выбрав наш образ и все файлы для сканирования. Как видим, есть вкладка с электронными письмами, в которой лежит нужное нам письмо.

![](https://i.imgur.com/AwHMfr1.png)

Откроем его и увидим во вложении интересующий нас файл. Таким образом, данную работу можно было выполнить без запуска образа, а обычным сканированием.

![](https://i.imgur.com/rXetChx.png)