Aynı PID, İki Süreç

Altay Kargo SOC'unda sabah vardiyasındasın. Muhasebe makinesi muh-pc03'ün kullanıcısı aradı. 09:14 civarı Outlook'ta bir ödeme bildirimi ekini açmış, sarı şeritteki "İçeriği Etkinleştir" düğmesine basmış. Geçen hafta canlıya alınan Office kuralı ise hiç alarm üretmedi.

Elinde dört belge var: makinenin Sysmon kaydı, bir stajyerin betikle çıkardığı taslak süreç ağacı, iç DNS çözücünün sorgu listesi ve av notu. Sysmon kaydında dört olay türü geçiyor: EventID 1 süreç oluşturma, 3 ağ bağlantısı, 5 süreç sonlanması, 22 DNS sorgusu. Belgeler birbirini doğrular, ama biri seni yanıltabilir.

Zinciri kendin kur. Süreçleri ProcessGuid ve ParentProcessGuid ile bağla, ProcessId ile değil. Windows, biten bir sürecin numarasını (PID) yeni bir sürece verebilir. Sysmon bu yüzden her sürece benzersiz bir GUID yazar.

Hiçbir makineye bağlanman gerekmiyor. Görevin kök nedeni kanıtlamak, kuralın neden sustuğunu bulmak ve zinciri ilk halkada kesen önlemi seçmek. Kodlanmış komutu çözmek için CyberChef gibi bir çözücü yeter.