PowerShell EDRFreeze 調査 (LetsDefend ケーススタディ)

このリポジトリには、不審な PowerShell アクティビティ、GitHub でホストされたペイロード、EDRFreeze ツールの実行を含む LetsDefend シナリオに基づいた SOC 調査の記録が含まれています。

このリポジトリに含まれるもの

• 完全なレポート: report.md
• タイムライン: timeline.md
• 侵害指標: iocs.md
• MITRE ATT&CK マッピング: mitre.md
• 調査スクリーンショット: screenshots

ケース概要

調査により、ホストが github.com を解決し、EDR-Freeze_1.0.zip をダウンロードし、実行ポリシー評価中に一時ファイル __PSScriptPolicyTest を作成し、EDR-Freeze_1.0.exe を実行し、その後 WerFaultSecure.exe を起動した PowerShell 駆動の攻撃チェーンが特定されました。

攻撃図

注記

このケーススタディは LetsDefend のトレーニングシナリオに基づいており、ポートフォリオと学習目的で公開されています。