# Обнаружение фишингового письма, анализ вредоносного кода Выполнил Харитонов Алексей. # Первый способ ## Шаг первый Для начала нам нужно найти пиьсмо, которое содержало в себе вредоносный код. Такие письма называются фишинговами. Они позволяют за счет невнимательных пользователей, получить важную информацию, как о еденичном польщователе, так и о всей компании. Заходим в аутлук и проверяем письма. ![](https://i.imgur.com/8Ey0TAL.png) Находим там письмо якобы от службы проверки компьютерной грамотности, которое просит нас ЗАПУСТИТЬ некий скрипт. Скрипт у нас записан в txt файле, а для его запуска нужно сменить формат и запустить с root правами. **Файл:** ``Создает нового локального юзера, создает новую папку и перемещает туда файл appdata`` ![](https://i.imgur.com/tkDP4qG.png) ## Шаг второй Устанавливаем программу **WebBrowserPassView** и находим пароль от учеток. ![](https://i.imgur.com/czxU6dY.png) # Второй способ Скачаивам пррограмму **R-Studio Network Edition**, открываем образ и запускаем сканирование. ![](https://i.imgur.com/aulQwkz.png) После этого ищем файлы ``POCHE.ps1`` - скрипт, ``alexmireaforensic_lab2@outlook.com.ost`` - почта, ``Login Data`` - файл с паролями. После этого востанавливаем их: ![](https://i.imgur.com/oUn6slB.png) ![](https://i.imgur.com/0xiAS3R.png) ![](https://i.imgur.com/D1PvzHp.png) Для просмотра содержимого пись используем программу **Kernel OST Viewer** ![](https://i.imgur.com/Vs7PdAj.png) Для просмотра поролей из ``Login Data`` используем программу **WebBrowserPassView** ![](https://i.imgur.com/bhg3ObE.png)