9002 RAT と LNK

9002 RAT についての記事、persistence の仕組みとしては LNK ファイルを利用。 www.proofpoint.com スタートアップに UpdateCheck.lnk を作成、中身としては Powrshell を利用する仕組みとなっているようです。プロパティを確認バイナリを確認スタートア…

2017-08-26

APT28と HKCU\Environmentキー

FireEye社から APT 28に関するレポート「APT28 Targets Hospitality Sector, Presents Threat to Travelers」が出ており、下記で日本語に翻訳された関連記事も読めます。ただ、横展開に関する手法や Responder の仕組みについて扱われていますが、マルウェア…

2017-08-23

Autopsy 4.4.1 タイムライン機能(4)

Web アクティビティ（Chrome）セキュリティキャンプ 2017の E4 トラック事前学習で作成した Chrome01_RAW.001 を Autopsy のタイムライン機能で確認。実際に操作した内容は下記。 Googleで「セキュリティキャンプ」を検索セキュリティキャンプのWebを参照…

2017-08-22

Autopsy 4.4.1 タイムライン機能(3)

画像ファイルの EXIF 情報タイムライン機能には、Exif 情報を利用する事もできる。インジェストモジュールとしては「Exif パーサ」を実行。インジェストモジュールの実行結果は、「抽出されたコンテンツ」⇒「EXIFメタデータ」で確認ができる。テストデータ…

2017-08-21

Autopsy 4.4.1 タイムライン機能(2)

コンテナファイルの扱い ZIP や RAR ファイルのコンテナ内に存在するファイルのタイムスタンプ情報のタイムラインでの取り扱いについて。『埋め込みファイルの抽出ツール』モジュールを実行している場合、ZIP や RAR ファイルなどについては、下記図のよう…

2017-08-19

Autopsy 4.4.1 タイムライン機能(1)

Autopsy のタイムライン機能 Timeline http://sleuthkit.org/autopsy/docs/user-docs/4.4.1/timeline_page.html サンプルのイメージファイルとしては、マイクロソフト社が提供している仮想マシンのイメージを利用しています。ブラウザの履歴なども確認してい…

2017-08-19

Autopsy 4.4.1 埋め込み文書のキーワード検索

埋め込みオブジェクトが含まれる文書 Autopsy のキーワード検索において、文書内にオブジェクトが埋め込まれている場合にどの様な扱いになるかを確認。サンプルデータとして、Word文書（DOCX形式）内に、動画ファイル（MOV）、JPEGファイル（2件のうち1件は…

2017-08-18

Autopsy 4.4.1 疑わしいファイル機能

Autopsy 4.4.1 のベータ機能テスト Autopsy には事前に定義した「疑わしいファイル」を探すモジュールがあり、オプションメニューからルールセットの作成ができる。 Interesting Files Identifier Modulehttp://sleuthkit.org/autopsy/docs/user-docs/4.4.1/…

2017-08-17

Autopsy 4.4.1 リリース

リリースノートを参照バージョン 4.4.1 の変更点は下記に記載されています。幾つか新たな機能追加があります。https://github.com/sleuthkit/autopsy/releases/tag/autopsy-4.4.1 Beta version of new central repository feature has been added for corre…

2017-08-15

Autopsy 4.4.0 におけるキーワード検索(Stem)

Autopsy のキーワード検索で、Stem を利用した検索が可能かを確認。サンプルデータは Content-Encoding: windows-1252 として認識されているテキストファイル。また、サンプル文字列として、solr.PorterStemFilterFactory で例示されている文字列パターン…

2017-08-14

Autopsy 4.4.0 におけるキーワード検索(二つのタブ)

Autopsy には「ストリング」と「インデクス化されたテキスト」と二つのタブが存在する。PDF や DOCX ファイルなどの場合、ストリングとインデックス化されたテキストではそれぞれ異なるテキストデータが表示される。下記画像では、PDFファイルを処理した後…

2017-08-13

Autopsy 4.4.0 におけるキーワード検索(Standard Tokenizer)

メールアドレスやドメイン名の区切り方 AutopsyのSolr用スキーマファイル schema.xml には、solr.StandardTokenizerFactory が定義されており、Apache Solr の Standard Tokenizer の動作については、下記ページを参照することで内容を確認できる。 https://…

2017-08-12