Özgeçmiş Kılığında Hırsız

Altay Kargo'nun İK uzmanı Buse Kara, 23 Eylül'de öğleden az önce bir iş başvurusu e-postasındaki özgeçmişi açtı. On dakika sonra EDR, geçici klasörden çalışan imzasız bir süreç için uyarı üretti. Ekip ik-pc04 makinesini ağdan ayırmadan önce bellek dökümünü aldı.

Elinde dört belge var. İlki süreç ağacı ve komut satırları, ikincisi ağ bağlantıları. Üçüncüsünde şüpheli süreçlerin dizeleri, tanıtıcıları ve dosya taraması duruyor. Dördüncüsü bir stajyerin başladığı IOC (tehdit göstergesi) taslağı. Taslakta boş satırlar ve hatalı bir gösterge var. Kıdemli analist taslağı onaylamadan önce senden tamamlamanı istiyor.

Bellek incelemesinin ilk kuralını uygula: sürecin adı tek başına kanıt değildir. Yolu, ebeveyni ve Wow64 değerini karşılaştır. Dizede gördüğün bir değeri tanıtıcı ya da dosya taramasıyla doğrula. Meşru süreçlerde de görülen bir değer IOC olmaz, yalnız gürültü üretir.

Hiçbir aracı çalıştırman gerekmiyor. Görevin dört belgeyi birleştirip göstergeleri kesinleştirmek, kök nedeni bulmak ve zinciri ilk adımında kesen önlemi seçmek. Volatility saatleri UTC olarak yazar. Türkiye saati için 3 saat ekle.