Diskte Olmayan Kod

Altay Kargo'nun rota planlama sunucusu ak-rota-srv02, 24 Eylül gecesi güvenlik duvarında alarm üretti. Sunucu, izin listesinde olmayan bir adrese her dakika bağlanıyor. Diskte yapılan tam antivirüs taraması ise temiz çıktı.

Olay ekibi sunucunun belleğini hipervizörden anlık görüntüyle aldı ve Volatility 3 çıktılarını sana bıraktı. Süreç listesi ilk bakışta temiz. Sistem süreçleri beklenen ebeveynlerden başlamış, taklit edilmiş bir ad yok. Kanıt bir sürecin belleğinde duruyor.

Modülde gördüğün malfind mantığını uygula. Eklenti hem yazılabilir hem çalıştırılabilir olan, diskteki bir dosyaya bağlı olmayan özel bellek bölgelerini listeler. Her bölge için yalnız ilk 64 baytı gösterir. Bu önizleme bazen her şeyi söyler, bazen hiçbir şey söylemez.

Hiçbir aracı çalıştırman gerekmiyor. Görevin dört belgeyi birleştirip enjekte kodu taşıyan süreci, komuta sunucusunu ve kök nedeni kanıtlamak. Son adımda ekip liderinin iki koşulunu birlikte karşılayan müdahaleyi seçeceksin.