---
# System prepended metadata

title: 'Обнаружение фишингового письма, анализ вредоносного кода'

---

# Обнаружение фишингового письма, анализ вредоносного кода
Выполнил Харитонов Алексей.


# Первый способ 

## Шаг первый
Для начала нам нужно найти пиьсмо, которое содержало в себе вредоносный код. Такие письма называются фишинговами. Они позволяют за счет невнимательных пользователей, получить важную информацию, как о еденичном польщователе, так и о всей компании.

Заходим в аутлук и проверяем письма.

![](https://i.imgur.com/8Ey0TAL.png)

Находим там письмо якобы от службы проверки компьютерной грамотности, которое просит нас ЗАПУСТИТЬ некий скрипт. Скрипт у нас записан в txt файле, а для его запуска нужно сменить формат и запустить с root правами.

**Файл:**

``Создает нового локального юзера, создает новую папку и перемещает туда файл appdata``

![](https://i.imgur.com/tkDP4qG.png)
## Шаг второй 
Устанавливаем программу **WebBrowserPassView** и находим пароль от учеток.
![](https://i.imgur.com/czxU6dY.png)

# Второй способ 

Скачаивам пррограмму **R-Studio Network Edition**, открываем образ и запускаем сканирование.

![](https://i.imgur.com/aulQwkz.png)

После этого ищем файлы ``POCHE.ps1`` - скрипт, ``alexmireaforensic_lab2@outlook.com.ost`` - почта, 
``Login Data`` - файл с паролями.

После этого востанавливаем их: 

![](https://i.imgur.com/oUn6slB.png)


![](https://i.imgur.com/0xiAS3R.png)

![](https://i.imgur.com/D1PvzHp.png)

Для просмотра содержимого пись используем программу **Kernel OST Viewer**

![](https://i.imgur.com/Vs7PdAj.png)

Для просмотра поролей из ``Login Data`` используем программу **WebBrowserPassView**

![](https://i.imgur.com/bhg3ObE.png)
