All posts for: DFIR

Forela niedawno otrzymała skargi od widzów, że transmisja na żywo na ich kanale YouTube wyświetlała dziwne treści. Zamiast standardowych materiałów firmowych, transmisja na żywo pokazywała filmy promujące oszustwa związane z kryptowalutami. Kanał był wykorzystywany do prezentacji produktów i usług firmy oraz do dostarczania treści edukacyjnych związanych z branżą, w której firma działała. Alonzo Spire, administrator IT w Forela, zarządzał kanałem YouTube. Zespół reagowania na incydenty został powiadomiony o incydencie, gdy tylko otrzymano skargi. System Alonzo został poddany analizie wstępnej, a artefakty zostały zebrane z jego systemu do analizy śledczej w celu potwierdzenia, w jaki sposób doszło do włamania na firmowy kanał.

Nasz personel niedawno otrzymał zaproszenie do niemieckiej ambasady na pożegnanie ambasadora Niemiec. Uważamy, że to zaproszenie było próbą phishingu, ponieważ po otrzymaniu tego maila na narzędziach SIEM naszej organizacji pojawiły się alerty. Udostępniliśmy szeroką gamę artefaktów, w tym liczne pliki binarne, zrzut sieci, pliki DLL z systemu hosta oraz plik .hta.

Gladys jest nowym pracownikiem w firmie. Otrzymała e-mail informujący ją, że dział IT ma przeprowadzić prace na jej komputerze. Została poinstruowana, aby zadzwonić do zespołu IT, który poinformuje ją, jak umożliwić im zdalny dostęp. Jednak zespół IT to w rzeczywistości grupa hakerów, którzy próbują zaatakować Forela.

Jeden z naszych partnerów technicznych obecnie zarządza naszą infrastrukturą AWS. Poprosiliśmy o wdrożenie pewnej technologii do chmury. Zaproponowane rozwiązanie to instancja EC2 hostująca aplikację Grafana. Niedługo po wdrożeniu instancji EC2 zużycie procesora utrzymywało się na poziomie ciągłych 98%+ dla procesu o nazwie “xmrig”. Ważna informacja: Publiczny adres IP naszego biura to 86.5.206.121. Po wdrożeniu aplikacji przeprowadziliśmy podstawowe testy podatności i konserwację.

Krytyczny serwer deweloperski Forela został zaatakowany przez grupę cyberprzestępców. Serwer deweloperski został przypadkowo pozostawiony otwarty do internetu, co nie powinno było mieć miejsca. Starszy deweloper Abdullah powiedział zespołowi IT, że serwer był w pełni zabezpieczony i nadal trudno jest zrozumieć, jak doszło do ataku i jak atakujący uzyskał dostęp w pierwszej kolejności. Forela niedawno rozpoczęła ekspansję swojej działalności w Pakistanie, a Abdullah był odpowiedzialny za całą infrastrukturę wdrożeniową i zarządzanie nią. Zespół ds. bezpieczeństwa musi jak najszybciej opanować i naprawić zagrożenie, ponieważ dalsze szkody mogą być katastrofalne dla firmy, zwłaszcza na kluczowym etapie ekspansji w innym regionie. Na szczęście w podsieci działało narzędzie do przechwytywania pakietów, które zostało skonfigurowane kilka miesięcy temu. Zrzut ruchu sieciowego obejmuje okres incydentu (1-2 dni), ponieważ nie wiemy dokładnie, kiedy atakujący uzyskał dostęp. Jako nasz analityk śledczy, otrzymałeś zrzut ruchu siecowego do oceny, jak atakujący uzyskał dostęp.

Jesteś zewnętrznym konsultantem ds. reagowania na incydenty, a twój menedżer właśnie przekazał ci sprawę od małego startupu o nazwie Cloud-guru-management Ltd. Obecnie budują produkt ze swoim zespołem deweloperów, ale CEO otrzymał informacje ustne, że ich własność intelektualna została skradziona i jest używana gdzie indziej. Użytkowniczka, o której mowa, twierdzi, że mogła przypadkowo udostępnić swój folder Dokumenty i uważa, że atak miał miejsce 6 października. Użytkowniczka również stwierdza, że w tym dniu była z dala od swojego komputera. Firma nie dostarczyła więcej informacji poza tymi. Rozpoczęto dochodzenie w celu ustalenia przyczyny potencjalnej kradzieży w Cloud-guru; jednak zespół nie zdołał odkryć przyczyny wycieku. Zebrali pewne wstępne dowody, które masz przejrzeć za pomocą triage KAPE. To od ciebie zależy, aby odkryć, jak doszło do tego wszystkiego.

Forela Corporation w dużym stopniu polega na wykorzystaniu Windows Subsystem for Linux (WSL), a obecnie złośliwi aktorzy wykorzystują tę funkcję, korzystając z jej trudnej do wykrycia natury. W odpowiedzi zespół red team w Forela wykonał szereg poleceń za pomocą WSL2 i udostępnił logi API do analizy.

Zaniedbaliśmy priorytetowe traktowanie solidnego zabezpieczenia naszej sieci i serwerów, w wyniku czego zarówno nasza organizacja, jak i nasi klienci padli ofiarą cyberataku. Pochodzenie i metody tego naruszenia pozostają nieznane. Wykryto liczne podejrzane e-maile. W dążeniu do rozwiązania problemu, jako ekspert śledczy, musisz być w stanie nam pomóc.

Byłeś analitykiem SOC przez ostatnie 4 lata, ale przez ten czas doskonaliłeś swoje umiejętności w zakresie reagowania na incydenty! Nadszedł czas, aby podjąć ryzyko i ubiegać się o wymarzoną pracę jako Specjalista ds. Reagowania na Incydenty, ponieważ to jest ścieżka, którą chcesz podążać w swojej karierze. Obecnie przechodzisz przez proces rekrutacji do średniej wielkości wewnętrznego zespołu ds. reagowania na incydenty, a pewny siebie rekruter zadał Ci trudne techniczne wyzwanie, aby sprawdzić Twoje umiejętności w zakresie analizy pamięci. Czy uda Ci się odpowiedzieć na wszystkie pytania poprawnie i zdobyć tę pracę?

Ostrzeżenie o delikatnej sytuacji! Klient został właśnie poinformowany o niepokojących raportach wskazujących na potencjalne naruszenie ich bazy danych, z informacjami rzekomo krążącymi na rynku darknet. Jako odpowiedzialny za reagowanie na incydenty, Twoim zadaniem jest dojście do sedna sprawy. Musisz przeprowadzić dochodzenie w sprawie e-maila otrzymanego przez jednego z ich pracowników, zrozumieć implikacje i odkryć wszelkie możliwe powiązania z naruszeniem danych. Skoncentruj się na analizie artefaktów dostarczonych przez klienta, aby zidentyfikować znaczące wydarzenia, które miały miejsce na komputerze ofiary.