Годунова Анна БСБО-05-19
# Лабораторная работа номер 2
**Цель лабораторной работы**: получить навыки расследования кибер-инцидентов средствами утилит форензики, поиска следов злоумышленника в системе.

**Задание**:

1. Обнаружить фишинговое письмо.

2. Обнаружить вредоносный код и проанализировать его действие.

3. Выявить, какие данные были скомпрометированы.

**Выполнение работы:**

1. У нас есть образ диска Windows 10, пользователь которого подвергся фишинговой атаке через электронную почту и потерял аккаунты, сохранённые в браузере. Формат данного образа .vmdk

2. Нам необходимо проанализировать его. Для этого воспользуемся программой autopsy. Программа бесплатная, её можно скачать [-> тут <-](https://www.autopsy.com/). Про работу данной программы можно подробнее почитать, например [-> тут <-](https://habr.com/ru/company/alexhost/blog/533260/).

3. Если мы закинем в программу файл .vmdk, получим следующее: 

Autopsy не может определить файловую систему. Для решения этой проблемы можно конвертировать .vmdk, например в .raw.

4. Для преобразования воспользуемся командой: `qemu-img convert vmdk Lab_2-v.2.vmdk -m 16 -p -O raw Laba2.raw`
В Windows этот инструмент можно загрузить с этого сайта:
http://www.teimouri.net/qemu-img-windows/

5. Далее аналогично загрузим файл Laba2.raw в Autopsy для анализа

Результат:

6. Нас больше интересует раздел 'Data Artifacts' и 'E-mail Messages', т.к. нам известно что пользователь подвергся фишинговой рассылке.

7. В данном разделе мы видим три письма, содержимое нижних двух ничем не примечательно, но самое верхнее письмо может заинтересовать своим содержанием:

8. В письме приложен файл, который явно скачал пользователь

9. Откроем этот файл и посмотрим на содержимое.

В нем происходит:
* Создание пароля Qq123456.
* Создание нового локального пользователя WildRusHacker с паролем, созданным в первой строке.
* Создание новой папки.
* Копирование в созданную папку файла с данными учетных записей, сохраненных в Chrome.

10. Просмотрим файл, в который происходит копирование данных.
В нём указаны логины и пароли для двух ресурсов Lamoda и Okko.