# Лабораторная работа №2 - Расследование кибер-инцидентов
> [name=Строкач Н.А. БСБО-04-19]
>
**Цель лабораторной работы:** получить навыки расследования кибер-инцидентов средствами утилит форензики, поиска следов злоумышленника в системе.

**Входные данные:** образ диска Windows 10, пользователь которого подвергся фишинговой атаке через электронную почту и потерял аккаунты, сохранённые в бразуере.

**Задание:**
1. Обнаружить фишинговое письмо.
2. Обнаружить вредоносный код и проанализировать его действие.
3. Выявить, какие данные были скомпрометированы.

### Обнаружить фишинговое письмо.

Изначально нет информации на какую почту пришло фишинговое письмо, необходимо это выяснить.

Проанализировав историю браузера можно выяснить, что пользователь пользовался временной почтой, Google и Yandex почтами. На данные почты попасть не получилось, пользователь не хранил пароли в браузере для них.


Ищем в почтовом клиенте системы. Находим учетную запись Microsoft - [e-mail]. Пользователь уже был залогинен в эту учетную запись, поэтому можем просто зайти и проверить почту.


Находим нужное нам письмо.


### Обнаружить вредоносный код и проанализировать его действие.

Исходя из просьбы злоумышленника поменять расширение файла, можно понять, что внутри файла прописан PowerShell-скрипт.

Рассмотрим построчно наш файл:
1. Создается переменная PASSWORD, в которой хранится, зашифрованный с помощью ConvertTo-SecureString, пароль.
2. Создается новый пользователь с именем WildRusHacker и зашифрованным паролем, созданным в первом пункте.
3. Создается новая папка в C:\Program Files
4. Далее злоумышленник хотел скопировать все данные из Login Data, который хранит все креды, имеющиеся в Google Chrome, в свою папку, созданную в предыдущем пункте.

### Выявить, какие данные были скомпрометированы.

Проведя анализ PowerShell-скрипта можно сказать, что данные были скомпроментированы из Login Data. То есть злоумышленник украл данные url-ов, логины и пароли, необходимые для этих url-ов. Для доступа к нашим данным ему необходимо дешифровать пароль(возможно только если приложение запущено на том ПК, где установлен Google Chrome. Если этот файл скопировать на другую машину - расшифровать не получится).


Мы находимся на ПК пользователя, значит можем посмотреть все украденные данные в расшифрованном виде.

**Вот список украденных данных.**


Если открыть файл, украденный злоумышленником, то можно убедиться, что данные с lamoda и okko были скомпроментированы.