Hacklenmiş Windows Sistem Analizi Webinar Sunumu

1. Hacklenmiş Windows
Sistem Analizi

2. ?
@BGASecurity
● Ömer Günal
○ Incident Responder
○ ogunal.com
○ @ogunal00
○ omer.gunal@bgasecurity.com
○ OSCP, OSWP
BGA | Webinar

3. Akış
@BGASecurity
● Cyber Kill Chain
● Süreç
● Prosesler
● Ağ Bağlantıları
● Kalıcılık
● Kullanılabilecek Araçlar
● Örnek Analiz
BGA | Webinar

4. Cyber Kill Chain
@BGASecurity
BGA | Webinar

5. Süreç
@BGASecurity
BGA | Webinar

6. Analiz
@BGASecurity
BGA | Webinar
● Aktif olan zararlı var mı?
● İç veya dış iletişim var mı?
● Kalıcılık sağlandı mı?

7. Prosesler
@BGASecurity
BGA | Webinar

8. Ağ Bağlantıları
@BGASecurity
BGA | Webinar

9. Kalıcılık
@BGASecurity
● User
● Services
● Task scheduler
● Startup
● Registry
● File
BGA | Webinar

10. User
@BGASecurity
BGA | Webinar
● Event ID 4720

11. Task Scheduler
@BGASecurity
● Event ID 4698 - A scheduled task was created
● Event ID 4702 - A scheduled task was updated
BGA | Webinar

12. Startup
@BGASecurity
● wmic startup get
BGA | Webinar

13. Registry
@BGASecurity
● Bir registry değeri değiştiğinde Windows EventID 4657 logu oluşur
"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun"
"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunOnce"
"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServices"
"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunServicesOnce"
"HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnceEx0001"
"HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnceEx0001Depend"
"HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun"
"HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce"
"HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices"
"HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServicesOnce"
BGA | Webinar

14. File
@BGASecurity
BGA | Webinar
● Son 1 günde yapılan dosya düzenlemeleri

15. Firewall Settings
@BGASecurity
BGA | Webinar

16. Firewall Settings
@BGASecurity
BGA | Webinar

17. Kullanılabilecek Araçlar
@BGASecurity
● Process Hacker
● Autoruns
● NirSoft FullEventLogView
● NirSoft LastActivityView
● BrowsingHistoryView
BGA | Webinar

18. Ek Çözümler
@BGASecurity
● Endpoint ve Network monitoring teknolojileri
BGA | Webinar

19. Örnek Analiz
@BGASecurity
“Gunal” cihazına sürekli olarak bilinmeyen RDP bağlantıları yapılmaktadır ve “BGA” projesine ait kaynak
kodlar sızdırılmıştır. Kullanıcı parolası değiştirilmesine rağmen projesinin güncel kodları sızdırılmaktadır.
NOT: 192.168.127.115 IP adresi haricinde RDP bağlantısı yapılması normal değildir.
Olay başlangıcı 22.06.2021 16:25
BGA | Webinar