ืึทืืืขืจืืืึทืื ืืื ืืึทืงืืืง ืคึฟืึทืจ ืจืืกืคึผืึทื ืืื ื ืฆื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื ืื ืกืึทืืึทื ืฅ, ืืจืขื ืืก ืืื ืงืจืึทื ื ืกืืืืขืจ ืึทืืึทืงืก, ืึทืคึผืจืึธืืืฉืื ืฆื ืืืกืคืึธืจืฉื ืืึทืื ืืืงืก ืืื ืงืึธืืคึผืึทื ืืขืก, ืจืืกืขืจืืฉืื ื ืืจืึทืืืขืจื ืืื ืจืืจืขืืืืืง ืืขืืืืกืขืก, ืึทื ืึทืืืืืื ื ืขื ืงืจืืคึผืืื ืืขืงืขืก, ืืงืกืืจืึทืงืืื ื ืืขืึธืืึธืงืึทืืืึธื ืืึทืื ืืื ืึทื ืึทืืืืืงืก ืคืื ืืจืืืก ืืืึทืืืืื ืคืื ืืึทืื - ืึทืืข ืื ืืื ืื ืืขืจืข ืืขืืขืก ืงืขื ืขื ืืืื ืืขืืขืจื ื ืืืืฃ ื ืืึทืข ืฉืืึธืก ืงืึธืจืกืึทื ืคืื Group-IB ืืื Belkasoft. ืืื ืืืืืืกื ืืืจ ืืขืจ ืขืจืฉืืขืจ ืืขืืงืึทืกืึธืคื ืืืืืืึทื ืคืึธืจืขื ืกืืงืก ืงืืจืก, ืืืึธืก ืกืืึทืจืฅ ืืืืฃ 9 ืกืขืคืืขืืืขืจ, ืืื ืืืงืืืขื ืึท ืืจืืืก ื ืืืขืจ ืคืื ืคึฟืจืืื, ืืืจ ืืึทืฉืืึธืกื ืฆื ืจืขืื ืืื ืืขืจ ืืขืืึทื ืืืขืื ืืืึธืก ืกืืืืขื ืื ืืืขืื ืืขืจื ืขื, ืืืึธืก ืืืืกื, ืงืึทืืคึผืึทืืื ืกืื ืืื ืืึธื ืืกืขืก (!) ืืืขื ืืืื ืืืงืืืขื ืืืจื ืื ืืืืก ืืขืจืืจืืืื ืืขื ืกืืฃ. ืขืจืฉืืขืจ ืืืื ืขืจืฉืืขืจ.
ืฆืืืื ืึทืืข ืืื ืืืื
ืืขืจ ืืขืืึทื ืง ืคืื ืงืึทื ืืึทืงืืื ื ืฉืืึธืก ืืจืืื ืื ื ืงืึธืจืกืึทื ืืื ืืจืืืก ื ืึธื ืื ืคึผืึทืจืืืกืึทืคึผืึทื ืฅ ืคืื ืื Group-IB ืงืึธืจืกืึทื ืื ืืขืืืืื ืฆื ืคืจืขืื ืืืขืื ืึท ืืขืฆืืึทื ืืืึธืก ืืืึธืื ืืขืืคึฟื ืืื ืฆื ืืืกืคืึธืจืฉื ืงืึทืืคึผืจืึทืืืืื ืงืึธืืคึผืืืืขืจ ืกืืกืืขืืขื ืืื ื ืขืืืืึธืจืงืก, ืืื ืคืึทืจืืื ืื ืื ืคืึทื ืืงืฉืึทื ืึทืืืื ืคืื ืคืึทืจืฉืืื ืคืจืื ืืืืืืึทืืื ืืืึธืก ืืืจ ืจืขืงืึธืืขื ืืืจื ืฆื ื ืืฆื ืืขืฉืึทืก ืืื ืฆืืืขื ื ืขื ืืคืขืจ.
ืืืื ืืื ืืืขืจ ืืืื ืื ื, ืึทืืึท ืึท ืืขืฆืืึทื ืงืขื ืืืื Belkasoft Evidence Center (ืืืจ ืืึธืื ืฉืืื ืืขืจืขืื ืืืขืื ืืื ืืื ืืืึธืจ ืืืืึทืืืึธืื "ืฉืืืกื ืฆื ืื ืึธื ืืืื: ืืขืจ ืืขืกืืขืจ ืืืืืืืืืจื ืืื ืืึทืื ืืืึทืจื ืคึฟืึทืจ ืงืึธืืคึผืืืืขืจ ืคืึธืจืขื ืกืืงืก"). ืืขืจืืืขืจ, ืืืจ, ืฆืืืึทืืขื ืืื ืืขืืงืึทืกืึธืคื, ืืึธืื ืืขืืืขืืึธืคึผืขื ืฆืืืื ืืจืืื ืื ื ืงืึธืจืกืึทื: ืืขืืงืึทืกืึธืคื ืืืืืืึทื ืคืึธืจืขื ืกืืงืก ะธ ืืขืืงืึทืกืึธืคื ืื ืกืืืขื ื ืขื ืืคืขืจ ืืืจืืงืืง.
ืืืืืืืง: ืื ืงืึธืจืกืึทื ืืขื ืขื ืกืึทืงืืืขื ืืฉืึทื ืืื ืื ืืขืจืงืึทื ืขืงืืื! ืืขืืงืึทืกืึธืคื ืืืืืืึทื ืคืึธืจืขื ืกืืงืก ืืื ืืขืืึทืงืืืืึทื ืฆื ืื ืืขืืงืึทืกืึธืคื ืขืืืืืขื ืกืข ืฆืขื ืืขืจ ืคึผืจืึธืืจืึทื, ืืื ืืขืืงืึทืกืึธืคื ืื ืกืืืขื ื ืขื ืืคืขืจ ืขืงืกืึทืืื ืึทืืืึธื ืืื ืืขืืึทืงืืืืึทื ืฆื ืืืกืคืึธืจืฉื ืื ืกืึทืืึทื ืฅ ื ืืฆื ืืขืืงืึทืกืึธืคื ืคึผืจืึธืืืงืื. ืืึธืก ืืื, ืืืืืขืจ ืืืจ ืืขืจื ืขื ืื Belkasoft Incident Response Examination ืงืืจืก, ืืืจ ืจืขืงืึธืืขื ืืืจื ืฆื ืคืึทืจืขื ืืืงื ืื Belkasoft Digital Forensics ืงืืจืก. ืืืื ืืืจ ืึธื ืืืืื ืืืืื ืืื ืึท ืงืืจืก ืืืืฃ ืืื ืฆืืืขื ื ืื ืืืขืกืืึทืืืืฉืึทื ื, ืืขืจ ืชึผืืืื ืงืขื ืืึธืื ืึทื ืืืื ื ืืืืกื ืืึทืคึผืก ืืื ื ืืฆื ืื ืืขืืงืึทืกืึธืคื ืขืืืืืขื ืกืข ืฆืขื ืืขืจ, ืืขืคึฟืื ืขื ืืื ืื ืืขืจืืืื ืคืึธืจืขื ืกืืง ืึทืจืืึทืคืึทืงืฅ. ืืึธืก ืงืขื ืคืืจื ืฆื ืืขืจ ืคืึทืงื ืึทื ืืขืฉืึทืก ืืจืืื ืื ื ืืื ืื ืืขืืงืึทืกืึธืคื ืื ืกืืืขื ื ืจืขืกืคึผืึธื ืกืข ืขืงืกืึทืืื ืึทืืืึธื ืงืืจืก, ืืขืจ ืชึผืืืื ืึธืืขืจ ืืืขื ื ืืฉื ืืึธืื ืฆืืื ืฆื ืืขื ืืขื ืืึทืืขืจืืึทื, ืึธืืขืจ ืืืขื ืคึผืึทืืขืืขื ืื ืจืขืฉื ืคืื ืื ืืจืืคึผืข ืืื ืึทืงืืืืืจืื ื ื ืืึท ืืืืกื, ืืืืึทื ืื ืืจืืื ืื ื ืฆืืื ืืืขื ืืืื ืคืืจืืจืืื. ืืืจื ืืขืจ ืืจืืื ืขืจ ืืืึธืก ืืขืจืงืืขืจื ืืขื ืืึทืืขืจืืึทื ืคืื ืื Belkasoft ืืืืืืึทื ืคืึธืจืขื ืกืืงืก ืงืืจืก.
ืงืึธืืคึผืืืืขืจ ืคืึธืจืขื ืกืืงืก ืืื ืืขืืงืึทืกืึธืคื ืขืืืืืขื ืกืข ืฆืขื ืืขืจ
ืืขืจ ืฆืื ืคืื ืืขื ืงืืจืก ืืขืืงืึทืกืึธืคื ืืืืืืึทื ืคืึธืจืขื ืกืืงืก - ืืึทืงืขื ืขื ืกืืืืขื ืื ืฆื ืื Belkasoft Evidence Center ืคึผืจืึธืืจืึทื, ืืขืจื ืขื ืืื ืฆื ื ืืฆื ืืขื ืคึผืจืึธืืจืึทื ืฆื ืืึทืืืขื ืืึธืื ืคืื ืคืึทืจืฉืืื ืงืืืืื (ืืืึธืืงื ืกืืึธืจืืืืฉ, ืืจืึทืค ืึทืงืกืขืก ืืืงืึธืจื (ืืึทืจืึทื), ืจืืจืขืืืืืง ืืขืืืืกืขืก, ืกืืึธืจืืืืฉ ืืืืืึท (ืฉืืืขืจ ืืจืืืืื, ืืืืฅ ืืจืืืืื, ืืื"ื ื), ืืขื ืืงืขืจืืืง ืคืึธืจืขื ืกืืง ืืขืงื ืืงืก ืืื ืืขืงื ืืงืก, ืืขืืืึธืืก ืคืื ืคืึธืจืขื ืกืืง ืืืจืืงืืง ืคืื Windows ืึทืจืืึทืคืึทืงืฅ, ืจืืจืขืืืืืง ืืขืืืืกืขืก, ืืึทืจืึทื ืืึทืืคึผืก. ืืืจ ืืืขื ืืืื ืืขืจื ืขื ืฆื ืืืขื ืืืคืืฆืืจื ืืื ืืึธืงืืืขื ื ืึทืจืืึทืคืึทืงืฅ ืคืื ืืจืึทืืืขืจื ืืื ืจืขืืข ืืขืกืืืืฉืื ื ืืืืื, ืฉืึทืคึฟื ืคืึธืจืขื ืกืืง ืงืืคืืขืก ืคืื ืืึทืื ืคืื ืคืึทืจืฉืืื ืงืืืืื, ืขืงืกืืจืึทืงื ืืขืึธืืึธืงืึทืืืึธื ืืึทืื ืืื ืืืื ืคึฟืึทืจ ืืขืงืกื ืกืืงืืืึทื ืกืื (ืงืืืืขืจื ืืืื), ื ืืฆื ืืึทืฉืขืก ืืืขื ืงืึทื ืืึทืงืืื ื ืคืึธืจืฉืื ื, ืึทื ืึทืืืื ืื Windows ืจืขืืืกืืจื, ืืขื ืื ืกืงืืื ืคืื ืืืกืคืึธืจืฉื ืืืืืึทืงืึทื ื ืกืงืืืืข ืืึทืืึทืืืืกืื, ืื ืืึทืกืืงืก ืคืื ืื ืืขืจืืืื ืืจืึทืคืืงืก ืืื ืืืืืขื ืืขืงืขืก ืืื ืึทื ืึทืืืกืืก ืืขืงื ืืงืก ืืขื ืืฆื ืืขืฉืึทืก ืื ืืืขืกืืึทืืืืฉืึทื ื.
ืืขืจ ืงืืจืก ืืืขื ืืืื ื ืืฆืืง ืคึฟืึทืจ ืขืงืกืคึผืขืจืฅ ืืื ืกืคึผืขืฉืึทืืึทืืืืฉืึทื ืืื ืื ืคืขืื ืคืื ืงืึธืืคึผืืืืขืจ ืืขืื ืืฉ ืคืึธืจืขื ืกืืงืก (ืงืึธืืคึผืืืืขืจ ืคืึธืจืขื ืกืืงืก); ืืขืื ืืฉ ืกืคึผืขืฉืึทืืึทืกืฅ ืืืึธืก ืืึทืฉืืืกื ืื ืกืืืืช ืคึฟืึทืจ ืึท ืืฆืืื ืื ืืจืืืฉืึทื, ืคืื ืึทื ืืขืจืงืืืึทืื ืื ืงืืื ืคืื ืืขืฉืขืขื ืืฉื ืืื ืื ืงืึทื ืกืึทืงืืืขื ืกืึทื ืคืื ืกืืืืขืจ ืื ืคืืื; ืืขืื ืืฉ ืกืคึผืขืฉืึทืืึทืกืฅ ืืืึธืก ืืืขื ืืืคืืฆืืจื ืืื ืืึทืงืืืืขื ืืื ื ืืึทืื ืื ืืืืืข (ืืืงืก) ืืืจื ืึท ืื ืกืืืืขืจ (ืื ืขืจืืขื ืืืืืึทืืืืืขืจ); E- ืืืกืงืึธืืืขืจื ืกืคึผืขืฉืึทืืึทืกืฅ; SOC ืืื CERT / CSIRT ืฉืืขืงื; ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื ืขืืคึผืืืืื; ืงืึธืืคึผืืืืขืจ ืคืึธืจืขื ืกืืงืก ืขื ืืืืืึทืกืฅ.
ืงืืจืก ืคึผืืึทื:
- Belkasoft Evidence Center (BEC): ืขืจืฉืืขืจ ืกืืขืคึผืก
- ืฉืึทืคืื ื ืืื ืคึผืจืึทืกืขืกืื ื ืคืื ืงืึทืกืขืก ืืื BEC
- ืงืืืึทืื ืืืืืืึทื ืืึธืื ืคึฟืึทืจ ืคืึธืจืขื ืกืืง ืื ืืืขืกืืึทืืืืฉืึทื ื ืืื BEC
- ื ืืฆื ืคืืืืขืจืก
- ืืืฉืขื ืขืจืืืืื ื ืจืืคึผืึธืจืฅ
- ืคืึธืจืฉืื ื ืืืืฃ ืื ืกืืึทื ื ืืขืกืืืืฉืื ื ืืืืื
- ืืืขื ืืืขืืขืจืขืจ ืคืึธืจืฉืื ื
- ืืึธืืื ืืืืืืืก ืคืึธืจืฉืื ื
- ืขืงืกืืจืึทืงืืื ื ืืขืึธืืึธืงืึทืืืึธื ืืึทืื
- ืืืื ืคึฟืึทืจ ืืขืงืกื ืกืืงืืืึทื ืกืื ืืื ืงืึทืกืขืก
- ืขืงืกืืจืึทืงืืื ื ืืื ืึทื ืึทืืืืืื ื ืืึทืื ืคืื ืืืึธืืงื ืกืืึธืจืืืืฉ
- ื ืืฆื ืืืงืืึทืจืงืก ืฆื ืืืืืคึผืื ืงื ืืึทืืืึทืืืง ืืึธืื ืืขืคึฟืื ืขื ืืขืฉืึทืก ืคืึธืจืฉืื ื
- ืืืจืืงืืง ืคืื Windows ืกืืกืืขื ืืขืงืขืก
- Windows ืจืขืืืกืืจื ืึทื ืึทืืืกืืก
- ืึทื ืึทืืืกืืก ืคืื SQLite ืืึทืืึทืืืืกืื
- ืืึทืืึท ืจืขืงืึธืืืขืจื ืืขืืืึธืืก
- ืืขืงื ืืงืก ืคึฟืึทืจ ืืืืึทืืึทื ื ืืึทืจืึทื ืืึทืืคึผืก
- ื ืืฆื ืืึทืฉ ืงืึทืืงืืืึทืืึธืจ ืืื ืืึทืฉ ืึทื ืึทืืืกืืก ืืื ืคืึธืจืขื ืกืืง ืคืึธืจืฉืื ื
- ืึทื ืึทืืืกืืก ืคืื ืื ืงืจืืคึผืืื ืืขืงืขืก
- ืืขืืืึธืืก ืคึฟืึทืจ ืืขืจื ืขื ืืจืึทืคืืง ืืื ืืืืืขื ืืขืงืขืก
- ืื ื ืืฆื ืคืื ืึทื ืึทืืืกืืก ืืขืงื ืืงืก ืืื ืคืึธืจืขื ืกืืง ืคืึธืจืฉืื ื
- ืึธืืึทืืืื ืจืืืื ืึทืงืฉืึทื ื ื ืืฆื ืื ืืขืืืื-ืืื Belkascripts ืคึผืจืึธืืจืึทืืืื ื ืฉืคึผืจืึทื
- ืคึผืจืึทืงืืืฉ ืืขืงืฆืืขืก
ืงืืจืก: ืืขืืงืึทืกืึธืคื ืื ืกืืืขื ื ืขื ืืคืขืจ ืืืจืืงืืง
ืืขืจ ืฆืื ืคืื ืืขื ืงืืจืก ืืื ืฆื ืืขืจื ืขื ืื ืืึทืกืืงืก ืคืื ืคืึธืจืขื ืกืืง ืืืกืคืึธืจืฉืื ื ืคืื ืกืืืืขืจ ืึทืืึทืงืก ืืื ืื ืคึผืึทืกืึทืืืืึทืืื ืคืื ื ืืฆื ืืขืืงืึทืกืึธืคื ืขืืืืืขื ืกืข ืฆืขื ืืขืจ ืืื ืึทื ืืืกืคืึธืจืฉืื ื. ืืืจ ืืืขื ืืขืจื ืขื ืืืขืื ืื ืืืืคึผื ืืืขืงืืึธืจืก ืคืื ืืึธืืขืจื ืื ืคืืื ืืืืฃ ืงืึธืืคึผืืืืขืจ ื ืขืืืืึธืจืงืก, ืืขืจื ืขื ืฆื ืงืืึทืกืืคืืฆืืจื ืงืึธืืคึผืืืืขืจ ืื ืคืืื ืืืืืจื ืืืืฃ ืื MITER ATT&CK ืืึทืืจืืฅ, ืฆืืืืืื ืึทืคึผืขืจืืืืื ื ืกืืกืืขื ืคืึธืจืฉืื ื ืึทืืืขืจืืืึทืื ืฆื ืคืึทืจืืืืื ืื ืคืึทืงื ืคืื ืงืึธืืคึผืจืึธืืืก ืืื ืจืขืงืึธื ืกืืจืืืจื ืื ืึทืงืฉืึทื ื ืคืื ืึทืืึทืงืขืจื, ืืขืจื ืขื ืืื ืึทืจืืึทืคืึทืงืฅ ืืขื ืขื ืืืื ืึทื ืึธื ืืืืึทืื ืืืึธืก ืืขืงืขืก ืืขื ืขื ืืขืขืคื ื ืืขืืืืจื ืืขืฆืืข, ืืื ืื ืึธืคึผืขืจืืืืื ื ืกืืกืืขื ืกืืึธืจื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืื ืขืงืกืขืงืืืึทืืืข ืืขืงืขืก ืืขื ืขื ืืึทืื ืืึธืืืื ืืื ืขืงืกืึทืงืืืืึทื, ืืื ืึทืืึทืงืขืจื ืืจืืืขืจืืขืคืืจื ืึทืจืืืขืจ ืื ื ืขืฅ, ืืื ืืขืจื ืขื ืืื ืฆื ืื ืืขืจืืืื ืื ืึทืจืืึทืคืึทืงืฅ ื ืืฆื BEC. ืืืจ ืืืขื ืืืื ืืขืจื ืขื ืืืึธืก ืืขืฉืขืขื ืืฉื ืืื ืกืืกืืขื ืืึธืืก ืืขื ืขื ืืื ืืขืจืขืกืืจื ืืื ืื ืคืื ื ืคืื ืืืื ืื ื ืคืื ืืื ืฆืืืขื ื ืืืกืคืึธืจืฉืื ื ืืื ืืืืึทื ืึทืงืกืขืก ืืืืขืงืฉืึทื, ืืื ืืขืจื ืขื ืืื ืฆื ืคืึธืจืฉื ืืื ืืื BEC.
ืืขืจ ืงืืจืก ืืืขื ืืืื ื ืืฆืืง ืคึฟืึทืจ ืืขืื ืืฉ ืกืคึผืขืฉืึทืืึทืกืฅ ืืืึธืก ืืึทืฉืืืกื ืื ืกืืืืช ืคึฟืึทืจ ืึท ืืฆืืื ืื ืืจืืืฉืึทื, ืคืื ืึทื ืืขืจืงืืืึทืื ืงืืืื ืคืื ืืขืฉืขืขื ืืฉื ืืื ืื ืงืึทื ืกืึทืงืืืขื ืกืึทื ืคืื ืกืืืืขืจ ืื ืคืืื; ืกืืกืืขื ืึทืืืื ืืกืืจืึทืืึธืจืก; SOC ืืื CERT / CSIRT ืฉืืขืงื; ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืึทื ืฉืืขืงื.
ืงืืจืก ืืืืขืจืืืืง
Cyber โโโโKill Chain ืืืฉืจืืืื ืื ืืืืคึผื ืกืืึทืืขืก ืคืื ืงืืื ืืขืื ืืฉ ืืึทืคืึทืื ืืืืฃ ืื ืงืึธืจืื ืก ืงืึธืืคึผืืืืขืจืก (ืึธืืขืจ ืงืึธืืคึผืืืืขืจ ื ืขืฅ) ืืื ืืืื:
ืื ืึทืงืฉืึทื ื ืคืื SOC ืขืืคึผืืืืื (CERT, ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื, ืืื"ื ื) ืืขื ืขื ืึทืืืขื ืฆื ืคืึทืจืืืึทืื ืื ืืจืืืขืจื ืคืื ืึทืงืกืขืก ืคึผืจืึธืืขืงืืขื ืืื ืคึฟืึธืจืืึทืฆืืข ืจืขืกืืจืกื.
ืืืื ืึทืืึทืงืขืจื ืืึธื ืืืจืื ืขืืขื ืื ืคึผืจืึธืืขืงืืขื ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ, ืื ืืืืื ืืขื ืืฉื ืืึธื ืคึผืจืืืืจื ืฆื ืืื ืึทืืืื ืื ืฉืขืืืงื ืคืื ืื ืึทืืึทืงืขืจื ืึทืงืืืืืืืขืื, ืืึทืฉืืืกื ืืื ืื ืืึทืคืึทืื ืืื ืืืจืืืขืงืึธืื, ืจืขืงืึธื ืกืืจืืืจื ืื ืืขืฉืขืขื ืืฉื ืืื ืื ืกืืงืืืึทื ืก ืคืื ืึทืงืฉืึทื ื ืคืื ืื ืึทืืึทืงืขืจื ืืื ืื ืงืึทืืคึผืจืึทืืืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืกืืจืืงืืืจ ืืื ื ืขืืขื ืืืืืขื ืฆื ืคืึทืจืืืึทืื ืืขื ืืืคึผ ืคืื ืืึทืคืึทืื ืืื ืืขืจ ืฆืืงืื ืคึฟื.
ืื ืคืืืืขื ืืข ืืืืคึผืก ืคืื ืืจืึทืกืขืก ืงืขื ืขื ืืืื ืืขืคึฟืื ืขื ืืื ืึท ืงืึทืืคึผืจืึทืืืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ, ืืืึธืก ืื ืืืงืืืฅ ืึทื ืื ื ืขืฅ (ืงืึธืืคึผืืืืขืจ) ืืื ืงืึทืืคึผืจืึทืืืืื:
ืึทืืข ืึทืืึท ืืจืึทืกืขืก ืงืขื ืขื ืืืื ืืขืคึฟืื ืขื ืืื ืื Belkasoft Evidence Center ืคึผืจืึธืืจืึทื.
BEC ืืื ืึท "ืื ืกืืืขื ื ืื ืืืขืกืืืืึทืืืึธื" ืืึธืืืืข, ืืื, ืืืขื ืึทื ืึทืืืืืื ื ืกืืึธืจืืืืฉ ืืืืืึท, ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืึทืจืืึทืคืึทืงืฅ ืืื ืืขืฉืืขืื ืืืึธืก ืงืขื ืขื ืืขืืคึฟื ืื ืคืึธืจืฉืขืจ ืืืขื ืื ืืืขืกืืึทืืืืืื ื ืื ืกืึทืืึทื ืฅ.
BEC ืฉืืืฆื ืืืจืืงืืง ืคืื ืื ืืืืคึผื ืืืืคึผืก ืคืื Windows ืึทืจืืึทืคืึทืงืฅ ืืืึธืก ืึธื ืืืืึทืื ืื ืืืจืืคืืจืื ื ืคืื ืขืงืกืขืงืืืึทืืืข ืืขืงืขืก ืืืืฃ ืื ืกืืกืืขื ืืื ืืขืจ ืืืกืคืึธืจืฉืื ื, ืึทืจืืึทื ืืขืจืขืื ื Amcache, Userassist, Prefetch, BAM/DAM ืืขืงืขืก, , ืึทื ืึทืืืกืืก ืคืื ืกืืกืืขื ืืขืฉืขืขื ืืฉื.
ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืจืึทืกืขืก ืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืึทื ืืฆืขืจ ืึทืงืฉืึทื ื ืืื ืึท ืงืึทืืคึผืจืึทืืืืื ืกืืกืืขื ืงืขื ืขื ืืืื ืืขืจืืื ืื ืืื ืื ืคืืืืขื ืืข ืคืึธืจืขื:
ืื ืืื ืคึฟืึธืจืืึทืฆืืข, ืฆืืืืฉื ืื ืืขืจืข ืืืื, ืืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืคืืืกื ืืืง ืขืงืกืขืงืืืึทืืืข ืืขืงืขืก:
ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืคืืืกื ืืืง ืื ืืขืงืข 'RDPWInst.exe'.
ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืืืึทืืืึทื ืคืื ืึทืืึทืงืขืจื ืืื ืงืึทืืคึผืจืึทืืืืื ืกืืกืืขืืขื ืงืขื ืขื ืืืื ืืขืคึฟืื ืขื ืืื Windows ืจืขืืืกืืจื ืกืืึทืจืืึทืคึผ ืฉืืืกืืขื, ืืึทืืื ืื ืืก, ืกืงืขืืืฉืืื ืืึทืกืงืก, ืืึธืืึธื ืกืงืจืืคึผืก, WMI, ืขืืง. ืืืืฉืคืืื ืคืื ืืืืขืงืืื ื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืึทืืึทืงืขืจื ืืืึธืก ืืขื ืขื ืึทืืึทืืฉื ืฆื ืื ืกืืกืืขื ืงืขื ืขื ืืืื ืืขืืขื ืืื ืื ืคืืืืขื ืืข ืกืงืจืขืขื ืฉืึธืฅ:
ืงืึทื ืกืืจืืื ืื ื ืึทืืึทืงืขืจื ื ืืฆื ืื ืึทืจืืขื ืกืงืขืืืฉืืืขืจ ืืืจื ืงืจืืืืืื ื ืึท ืึทืจืืขื ืืืึธืก ืืืืคื ืึท PowerShell ืฉืจืืคื.
ืงืึธื ืกืึธืืืืืจื ืึทืืึทืงืขืจื ืืื Windows Management Instrumentation (WMI).
ืงืึธื ืกืึธืืืืืจื ืึทืืึทืงืขืจื ื ืืฆื ืืึธืืึธื ืฉืจืืคื.
ืื ืืึทืืืขืืื ื ืคืื ืึทืืึทืงืขืจื ืึทืจืืืขืจ ืึท ืงืึทืืคึผืจืึทืืืืื ืงืึธืืคึผืืืืขืจ ื ืขืฅ ืงืขื ืขื ืืืื ืืืืขืงืืึทื, ืืืฉื, ืืืจื ืึทื ืึทืืืืืื ื Windows ืกืืกืืขื ืืึธืืก (ืืืื ืื ืึทืืึทืงืขืจื ื ืืฆื ืื RDP ืืื ืกื).
ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืืืขืงืืึทื ืจืืคึผ ืงืึทื ืขืงืฉืึทื ื.
ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืืึทืืืขืืื ื ืคืื ืึทืืึทืงืขืจื ืึทืจืืืขืจ ืื ื ืขืฅ.
ืืืื, Belkasoft Evidence Center ืงืขื ืขื ืืขืืคึฟื ืจืืกืขืจืืฉืขืจื ืฆื ืืืขื ืืืคืืฆืืจื ืงืึทืืคึผืจืึทืืืืื ืงืึธืืคึผืืืืขืจืก ืืื ืึท ืึทืืึทืงืืจื ืงืึธืืคึผืืืืขืจ ื ืขืฅ, ืืขืคึฟืื ืขื ืืจืึทืกืขืก ืคืื ืื ืงืึทืืขืจ ืคืื ืืึทืืืืึทืจืข, ืืจืึทืกืขืก ืคืื ืคืืงืกืืืฉืึทื ืืื ืื ืกืืกืืขื ืืื ืืึทืืืขืืื ื ืึทืจืืืขืจ ืื ื ืขืฅ, ืืื ืื ืืขืจืข ืืจืึทืกืขืก ืคืื ืึทืืึทืงืขืจ ืืขืืืงืืื ืืืืฃ ืงืึทืืคึผืจืึทืืืืื ืงืึธืืคึผืืืืขืจืก.
ืืื ืฆื ืืืจืืคืืจื ืึทืืึท ืคืึธืจืฉืื ื ืืื ืืขืืขืงื ืื ืึทืจืืึทืคืึทืงืฅ ืืืกืงืจืืืื ืืืืื ืืื ืืืกืงืจืืืื ืืื ืื ืืขืืงืึทืกืึธืคื ืื ืกืืืขื ื ืจืขืกืคึผืึธื ืกืข ืขืงืกืึทืืื ืึทืืืึธื ืืจืืื ืื ื ืืืืฃ.
ืงืืจืก ืคึผืืึทื:
- ืกืืืืขืจืึทืืืึทืง ืืจืขื ืืก. ืืขืืฉื ืึธืืึธืืืขืก, ืืืฉืืจืื, ืืึธืืื ืคืื ืึทืืึทืงืขืจื
- ื ืืฆื ืกืึทืงืึธื ืข ืืึธืืขืืก ืฆื ืคึฟืึทืจืฉืืืื ืึทืืึทืงืขืจ ืืึทืงืืืง, ืืขืงื ืืงืก ืืื ืคึผืจืึธืืกืืืืฉืขืจื
- ืกืืืืขืจ ืืืืื ืงืืื
- ืืื ืฆืืืขื ื ืขื ืืคืขืจ ืึทืืืขืจืืืึทื: ืืขืืืืืืึทืฆืืข, ืืึธืืงืึทืืึทืืืืฉืึทื, ืืืจ ืคืื ืื ืืึทืงืืืืขืจื, ืืืื ืคึฟืึทืจ ื ืืึทืข ืื ืคืขืงืืึทื ื ืึธืืื
- ืึทื ืึทืืืกืืก ืคืื Windows ืกืืกืืขืืขื ื ืืฆื BEC
- ืืืืขืงืฉืึทื ืคืื ืืขืืืึธืืก ืคืื ืขืจืฉืืืง ืื ืคืขืงืฆืืข, ื ืขืฅ ืคืึทืจืฉืคึผืจืืืื, ืงืึทื ืกืึทืืึทืืืืฉืึทื ืืื ื ืขืฅ ืืขืืืงืืื ืคืื ืืึทืืืืึทืจืข ื ืืฆื BEC
- ืืืขื ืืืคืืฆืืจื ืื ืคืขืงืืึทื ืกืืกืืขืืขื ืืื ืืืงืขืจื ืื ืคืขืงืฆืืข ืืขืฉืืืืข ืืื BEC
- ืคึผืจืึทืงืืืฉ ืืขืงืฆืืขืก
FAQืืื ืืขื ืขื ืื ืงืึธืจืกืึทื ืืขืืืืื?
ืงืึธืจืกืึทื ืืขื ืขื ืืขืืืืื ืืื ืืจืืคืข-ืื ืืืืคึผืืงืืืึทืจืืืจ ืึธืืขืจ ืืื ืึท ืคืื ืืจืืืกื ืืืง ืคึผืืึทืฅ (ืืจืืื ืื ื ืฆืขื ืืขืจ). ืขืก ืืื ืืขืืืขื ืคึฟืึทืจ ืึท ืืจืืื ืขืจ ืฆื ืึทืจืืืคืึธืจื ืฆื ืืืืืืขื ืืื ืคึฟืืจืืข ืงืึทืกืืึทืืขืจื.
ืืืขืจ ืคืืจื ืื ืฉืืขืืจืื?
ืืจืืื ืขืจื ืืื Group-IB ืืขื ืขื ืคึผืจืึทืงืืืฉื ืขืจื ืืื ืคืืืข ืืึธืจื ืคืื ืืขืจืคืึทืจืื ื ืืื ืงืึทื ืืึทืงืืื ื ืคืึธืจืขื ืกืืง ืคืึธืจืฉืื ื, ืคึฟืืจืืข ืื ืืืขืกืืึทืืืืฉืึทื ื ืืื ืจืืกืคึผืึทื ืืื ื ืฆื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื ืื ืกืึทืืึทื ืฅ.
ืื ืงืืืึทืืึทืคืึทืงืืืฉืึทื ื ืคืื ืืจืืื ืขืจื ืืขื ืขื ืืืฉืืขืืืงื ืืืจื ืคืืืข ืืื ืืขืจื ืึทืฆืืึธื ืึทืืข ืกืขืจืืืคืืงืึทืฅ: GCFA, MCFE, ACE, EnCE, ืขืืง.
ืืื ืืืขืจ ืืจืืื ืขืจื ืืืืื ืืขืคึฟืื ืขื ืึท ืคึผืจืึธืกื ืฉืคึผืจืึทื ืืื ืื ืืืืขื, ืงืืืจ ืืขืจืงืืขืจื ืืคืืื ืื ืืขืจืกื ืงืึธืืคึผืืืฆืืจื ืืขืืขืก. ืกืืืืขื ืื ืืืขืื ืืขืจื ืขื ืึท ืคึผืืึทืฅ ืคืื ืืึทืืืึทืืืง ืืื ืืฉืืงืึทืืืข ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืืกืคืึธืจืฉื ืงืึธืืคึผืืืืขืจ ืื ืกืึทืืึทื ืฅ, ืืขืืืึธืืก ืคืื ืืืขื ืืืคืืฆืืจื ืืื ืึทื ืืงืขืื ืฉืืขืื ืงืึธืืคึผืืืืขืจ ืื ืคืืื, ืืื ืืึทืงืืืขื ืคืึทืงืืืฉ ืคึผืจืึทืงืืืฉ ืืืืกื ืืืึธืก ืืื ืงืขื ืขื ืฆืืืืืื ืืืืื ื ืึธื ืืจืึทืืืฉืึทืืืืืฉืึทื.
ืืืขื ืื ืงืึธืจืกืึทื ืฆืืฉืืขืื ื ืืฆืืง ืกืงืืื ื ืื ืฉืืึทืืืช ืฆื ืืขืืงืึทืกืึธืคื ืคึผืจืึธืืืงืื, ืึธืืขืจ ืืืขื ืื ืกืงืืื ืืืื ืื ืึทืคึผืืึทืงืึทืืึทื ืึธื ืืขื ืืืืืืืืืจื?
ืื ืกืงืืื ืงืื ื ืืขืฉืึทืก ืื ืืจืืื ืื ื ืืืขื ืืืื ื ืืฆืืง ืึธื ื ืืฆื ืืขืืงืึทืกืึธืคื ืคึผืจืึธืืืงืื.
ืืืึธืก ืืื ืึทืจืืึทื ืืขืจืขืื ื ืืื ืื ืขืจืฉื ืืขืกืืื ื?
ืขืจืฉืืืง ืืขืกืืื ื ืืื ืึท ืคึผืจืึธืืข ืคืื โโืืืืกื ืคืื ืื ืืึทืกืืงืก ืคืื ืงืึธืืคึผืืืืขืจ ืคืึธืจืขื ืกืืงืก. ืขืก ืืขื ืขื ืงืืื ืคึผืืึทื ื ืฆื ืคึผืจืืืืจื ืืืืกื ืคืื Belkasoft ืืื Group-IB ืคึผืจืึธืืืงืื.
ืืื ืงืขื ืืื ืืขืคึฟืื ืขื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืืืืืื ืืงืจืืื ืงืึธืจืกืึทื ืคืื ืื ืคืืจืืข?
ืืื ืึท ืืืื ืคืื ืืืืืื ืืงืจืืื ืงืึธืจืกืึทื, Group-IB ืืจืืื ื ืกืคึผืขืฉืึทืืึทืกืฅ ืืื ืืื ืฆืืืขื ื ืขื ืืคืขืจ, ืืึทืืืืึทืจืข ืคืึธืจืฉืื ื, ืกืืืืขืจ ืกืืืื ืกืคึผืขืฉืึทืืึทืกืฅ (Threat Intelligence), ืกืคึผืขืฉืึทืืึทืกืฅ ืฆื ืึทืจืืขืื ืืื ืื ืกืขืงืืจืืื ืึธืคึผืขืจืึทืฆืืข ืฆืขื ืืขืจ (SOC), ืกืคึผืขืฉืึทืืึทืกืฅ ืืื ืคึผืจืึธืืึทืงืืืื ืกืึทืงืึธื ืข ืืืืขื (Threat Hunter), ืืื"ื ื. . ื ืืึทื ืฅ ืจืฉืืื ืคืื ืคึผืจืึทืคึผืจืืืึทืืขืจื ืงืึธืจืกืึทื ืคืื Group-IB ืืื ืื ืืืฆื .
ืืืึธืก ืืึธื ืืกืขืก ืืึทืงืืืขื ืกืืืืขื ืื ืืืึธืก ืคืึทืจืขื ืืืงื ืฉืืึธืก ืงืึธืจืกืึทื ืฆืืืืฉื Group-IB ืืื Belkasoft?
ืืขื ืข ืืืึธืก ืืึธืื ืืืจืืืขืงืึธืื ืืจืืื ืื ื ืืื ืฉืืึธืก ืงืึธืจืกืึทื ืฆืืืืฉื ืืจืืคืข-ืื ืืื ืืขืืงืึทืกืึธืคื ืืืขื ืืึทืงืืืขื:
- ืืึทืืืืึทืื ืคืื ืงืึทืืคึผืืืฉืึทื ืคืื ืืขื ืงืืจืก;
- ืคืจืื ืืืืืขืฉืืขื ืึทืืึธื ืขืืขื ื ืฆื ืืขืืงืึทืกืึธืคื ืขืืืืืขื ืกืข ืฆืขื ืืขืจ;
- 10% ืึทืจืึธืคึผืจืขืืขื ืขื ืืืืฃ ืื ืงืืืคื ืคืื ืืขืืงืึทืกืึธืคื ืขืืืืืขื ืกืข ืฆืขื ืืขืจ.
ืืืจ ืืขืจืืึธื ืขื ืืืจ ืึทื ืืขืจ ืขืจืฉืืขืจ ืงืืจืก ืกืืึทืจืฅ ืืืืฃ ืืื ืืื, ืงืกื ืืืงืก ืกืขืคืืขืืืขืจ, - ืืึธื ื ืื ืคืขืื ืื ืืขืืขืื ืืืื ืฆื ืืึทืงืืืขื ืืื ืฆืืง ืืืืกื ืืื ืื ืคืขืื ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื, ืงืึธืืคึผืืืืขืจ ืคืึธืจืขื ืกืืงืก ืืื ืื ืกืืืขื ื ืขื ืืคืขืจ! ืจืขืืืกืืจืึทืฆืืข ืคึฟืึทืจ ืืขื ืงืืจืก .
ืงืืืืืืืื ืคึผืจืืคึผืขืจืื ื ืืขื ืึทืจืืืงื, ืืืจ ืืขืืืืื ื ืื ืคึผืจืขืืขื ืืืจืื ื ืคืื Oleg Skulkin "ื ืืฆื ืืึทืืขืืึธืก-ืืืืืจื ืคืึธืจืขื ืกืืงืก ืฆื ืืึทืงืืืขื ืื ืืืงืึทืืึธืจืก ืคืื ืงืึธืืคึผืจืึธืืืก ืคึฟืึทืจ ืืฆืืื ืกืืืื-ืืขืืจืืื ืืื ืฆืืืขื ื ืขื ืืคืขืจ."
ืืงืืจ: www.habr.com