分類：DFIR
Sherlocks 靶場は防御的な靶場であり、ログファイルから証拠を見つけてフラグを提出するというイベントレスポンスの役割を果たします。
添付ファイルのダウンロード
解凍すると、evtx ログファイルが得られます。
ここで使用されているのは evtx_dump ツールで、使用方法は以前のWindows XML イベントログ（EVTX）の解析を参照してください。
EVTX は Windows イベントログファイルの形式であり、Event Log File の略です。これは Windows Vista 以降で使用されるようになったログファイル形式であり、以前の EVT 形式を置き換えました。EVTX ファイルにはシステム、アプリケーション、セキュリティ、その他のイベントログ情報が保存されており、システム管理者やユーザーがトラブルシューティングや監査を目的として使用されます。
タスク 1 イベントログには、イベント ID が 11 のレコードがいくつありますか？
evtx_dump Microsoft-Windows-Sysmon-Operational.evtx | grep "EventID" | grep "11" | wc -l
56
タスク 2 コンピュータのメモリに新しいプロセスが生成されるたびに、イベント ID が 1 のレコードが生成されます。これにはコマンドライン、ファイルハッシュ、プロセスパス、親プロセスパスなどの詳細情報が含まれています。これらの情報はアナリストにとって非常に貴重であり、システム上で実行されているすべてのプログラムを把握するのに役立ち、悪意のあるプログラムを特定するのに役立ちます。では、具体的にどの悪意のあるプログラムが被害者のシステムに侵入したのでしょうか？
evtx_dump Microsoft-Windows-Sysmon-Operational.evtx -o jsonl | jq '.Event.System.EventID=1' | grep "Image"
C:\\Users\\CyberJunkie\\Downloads\\Preventivo24.02.14.exe.exe
タスク 3 悪意のあるソフトウェアの配布に使用されたクラウドドライブはどれですか？
EventID 22 は、システムが発行した DNS クエリを検索するために使用できます。
evtx_dump Microsoft-Windows-Sysmon-Operational.evtx -o jsonl | jq '.Event.EventData.QueryName'
dropbox
タスク 4 初期の悪意のあるファイルは、ディスク上で作成されたファイルのタイムスタンプを変更するという防御回避手段を採用しており、これによりこれらのファイルは古いファイルのように見えます。では、PDF ファイルに設定された新しいタイムスタンプは何ですか？
evtx_dump Microsoft-Windows-Sysmon-Operational.evtx -o jsonl | jq '.Event.System.EventID=11' | jq '.Event.EventData'
2024-01-14 08:10:06
タスク 5 悪意のあるファイルはディスク上にいくつかのファイルを配置しました。"once.cmd" ファイルの正確な場所はどこですか？ファイル名を含む完全なパスを提供してください。
evtx_dump Microsoft-Windows-Sysmon-Operational.evtx -o jsonl | jq '.' | grep "once.cmd"
C:\Users\CyberJunkie\AppData\Roaming\Photo and Fax Vn\Photo and vn 1.1.2\install\F97891C\WindowsVolume\Games\once.cmd
タスク 6 この悪意のあるファイルは、偽のウェブサイトにアクセスしようとし、おそらくネットワークの可用性を確認するためのものです。具体的にはどのウェブサイトに接続しようとしているのでしょうか？
ネットワーク接続の EventId は 5 なので、EventID=5 のレコードをフィルタリングできます。
evtx_dump Microsoft-Windows-Sysmon-Operational.evtx -o jsonl | jq '.Event.System.EventID=5'
または、QueryName キーワードでフィルタリングできます。
タスク 7 この悪意のあるプログラムは、どの IP アドレスに接触しようとしていますか？
evtx_dump Microsoft-Windows-Sysmon-Operational.evtx -o jsonl | jq '.Event.System.EventID=5'
93.184.216.34
タスク 8 この悪意のあるプログラムは、バックドア機能を持つ UltraVNC のバージョンを埋め込んだ後、自己終了しました。具体的にはいつ活動を停止しましたか？
vnc に関連するレコードを検索すると、以下のように 3 つのレコードしかありません。
evtx_dump Microsoft-Windows-Sysmon-Operational.evtx -o jsonl | jq '.Event.EventData.TargetFilename','.Event.EventData.UtcTime'
2024-02-14 03:41:58
