Другое «Практическое задание»,
информационная безопасность в Санкт-Петербурге

1. Изучите функцию main. Какое число будет выведено на экран в результате работы программы, содержащей в себе подобный код на языке ассемблера? Для вывода на экран используется функция printf. Для этого проанализируйте файл asm_1.txt 2. Проанализируйте файл asm_1.txt. Каким будет вывод программы, если следующие инструкции будут изменены? .text:0040100D mov [ebp+var4],0Ch .text:00401019 add eax,0Ah .text:0040101F cmp [ebp+var_4], 6Ch 3. Какие четыре WinAPI функции вызываются в программе? Перечислите названия функций через пробел в порядке их вызова в программе. Проанализируйте файл asm_2.txt и ответьте на вопрос 4. Какое имя будет у текстового файла, создаваемого в программе? Проанализируйте файл asm_2.txt и ответьте на вопрос 5. Что из списка не будет записано в создаваемый файл? Проанализируйте файл asm_2.txt и ответьте на вопрос a. Имя компьютера b. Случайное число c. Имя пользователя d. Идентификатор текущего времени e. Имя ключа реестра 6. Запишите полный путь исполняемого файла, который создается процессом WScript. Учитывайте, что файл будет исполняемым, его расширение будет не .exe. Проанализируйте отчет песочницы AnyRun app.any.run...d20a7f7c4/. Данный отчет мы разбирали в рамках лекции, где выяснили, что это файл, который запускает полезную нагрузку с помощью WScript и regsvr32, а также внедряет код в контекст процесса iexplore.exe и может быть классифицирован как Ursnif. 7. Запишите размер этого файла в килобайтах. Проанализируйте отчет песочницы AnyRun app.any.run...d20a7f7c4/. Данный отчет мы разбирали в рамках лекции, где выяснили, что это файл, который запускает полезную нагрузку с помощью WScript и regsvr32, а также внедряет код в контекст процесса iexplore.exe и может быть классифицирован как Ursnif. 8. Проанализируйте отчет песочницы AnyRun app.any.run...d20a7f7c4/. Данный отчет мы разбирали в рамках лекции, где выяснили, что это файл, который запускает полезную нагрузку с помощью WScript и regsvr32, а также внедряет код в контекст процесса iexplore.exe и может быть классифицирован как Ursnif. 9. С каким доменом производились коммуникации у вредоносного кода, внедрённого в процесс iexplore.exe? Проанализируйте отчет песочницы AnyRun app.any.run...d20a7f7c4/. Данный отчет мы разбирали в рамках лекции, где выяснили, что это файл, который запускает полезную нагрузку с помощью WScript и regsvr32, а также внедряет код в контекст процесса iexplore.exe и может быть классифицирован как Ursnif. 10. Укажите полный путь до исполняемого файла, закреплённого в ключе реестра «HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Test Update». Проанализируйте файл autoruns_1.arn с помощью утилиты Autoruns (Autoruns\Autoruns.exe -> File -> Open). 11. Запишите имя службы, осуществляющей запуск файла «c:\users\Администратор\appdata\local\temp\for_sc.exe». Проанализируйте файл autoruns_1.arn с помощью утилиты Autoruns (Autoruns\Autoruns.exe -> File -> Open). 12. Что из списка реализует этот Powershell скрипт? Проанализируйте файл posh_1.txt, который содержит в себе командную строку для подозрительного процесса Powershell. Необходимо декодировать Base64-закодированную строку. Скачивает файл с удалённого хоста Запускает скачанный файл Создаёт для скачанного файла службу Обходит политику исполнения Powershell Удаляет важные пользовательские файлы 13. С каким сетевым адресом происходит взаимодействие? Запишите URL-адрес. Проанализируйте файл posh_1.txt, который содержит в себе командную строку для подозрительного процесса Powershell. Необходимо декодировать Base64-закодированную строку. 14. Какое имя будет у запускаемого файла? Проанализируйте файл posh_1.txt, который содержит в себе командную строку для подозрительного процесса Powershell. Необходимо декодировать Base64-закодированную строку.