# Инструкция к лабораторной работе №2

## Нам известно:
1) Было получено фишинговое письмо.
2) Данные пользователя для авторизации на некоторых сайтах, вероятно, были скомпрометированы.

## Нам нужно:
1) Понять какие данные подверглись раскрытию.
2) Понять как это произошло.
3) Получить доказательства.

## Ход работы:

Создаем новую виртуальную машину, выбираем отложенную установку ОС:


Завершаем создание ВМ и заходим в её настройки:


Удаляем существующий жесткий диск:


И создаем новый, указывая в качестве самого диска сущесвующий .vmdk файл:



Теперь можем запускать машину.

---

Так как точкой входа злоумышленника в систему стало фишинговое письмо, попробуем его найти. Используем для этого утилиту OST Viewer.
При запуске нам предлагается выбрать или найти файл электронной почты:


Попробуем найти его на диске, для этого выберем наш диск и нажмем search:


Находим файл фишингового письма:


Смотрим что там:


Предполагаем что пользователь скачал и запустил PowerShell скрипт, создающий нового пользователя WildRusHacker, папку в Program Files с аналогичным названием. Затем туда был скопирован файл с сохраненными паролями Chrome.

Однако когда речь идет о расследовании киберинцидента, просто предположить недостаточно. Поэтому нужно найти доказательства того, что этот скрипт был исполнен. Для этого сделаем дамп памяти системы и проанализируем его.

Для создания дампа воспользуемся утилитой DumpIt.

При запуске нам выводится информация о диске и путь, куда будет сохранен дамп:


Нажимаем *y* и ждем. Файл .raw сохранится по указанному в терминале пути.

Теперь исследуем дамп с помощью Volatility Framework (обратите внимание, для использования утилиты необходим установленный python).

Скачав Volatility с официального сайта разработчика, нам следует запустить командную строку Windows и перейти в папку Volatility. Давайте посмотрим справку к утилите и доступные плагины:


Воспользуемся плагином FileScan, позволяющим просмотреть файлы в системе:


В аргументе -f указываем путь к дампу, который мы создали на предыдущем шаге.


Находим в папке пользователя вредоносный скрипт.
Осталось убедиться в том, что он был запущен.

Для этого воспользуемся плагином cmdline, отображающим действия в системе:


И находим скрипт: