Silinen İkilinin Çalıştırma Kanıtı

Altay Kargo'nun olay müdahale ekibindesin. 23 Eylül'de saat 12:44'te EDR, finans birimindeki fin-pc07 makinesinde MicrosoftEdgeUpdate.exe adlı bir sürecin 203.0.113.58 adresine bağlandığını bildirdi. Analist 13:20'de baktığında ikili diskte yoktu. Makine fişi çekilerek kapatıldı ve diskinin imajı alındı.

Elinde dört belge var: Prefetch klasörünün PECmd çıktısı, Amcache.hve kovanının AmcacheParser çıktısı, SYSTEM kovanındaki ShimCache kaydının AppCompatCacheParser çıktısı ve ekibin zaman çizelgesi notu. Üç araç da zamanı UTC yazar. Türkiye saati UTC+3'tür.

Üç kaynak aynı soruyu farklı açıdan yanıtlar. Prefetch, programın kaç kez çalıştığını ve son sekiz çalıştırma zamanını tutar. Amcache, dosyanın yolunu ve SHA-1 özetini saklar. Dosya silinse de iki kayıt kalır. ShimCache ise yalnız sistemin dosyayı gördüğünü söyler.

Hiçbir aracı çalıştırman gerekmiyor. Görevin, silinen ikilinin çalıştığını üç bağımsız kaynakla kanıtlamak. Gerçek yolunu, çalıştırma sayısını ve ilk çalıştırma anını bulacaksın. Sonra zinciri başlatan dosyayı gösterip taslaktaki hataları ayıklayacak ve doğru önlemi seçeceksin.