Разбор Conti Ransomware

Обзор

Этот репозиторий содержит моё полное расследование и технический отчёт о компрометации программой-вымогателем Conti сервера Microsoft Exchange.
Анализ проводился с использованием Splunk 8.2.2, было проверено 28 145 событий из журналов Windows Security, Sysmon и IIS для реконструкции полной цепочки атаки.

Ключевые выводы

• Выявлены три использованные CVE:
  • CVE‑2020‑0796 (SMBGhost)
  • CVE‑2018‑13374
  • CVE‑2018‑13379
• Обнаружен троянизированный cmd.exe, использовавшийся для закрепления в системе.
• Задокументированы методы атакующего по сохранению доступа даже после установки исправлений для уязвимостей.
• Предоставлены 24 аннотированных скриншота, подтверждающих расследование.

Содержимое репозитория

• Conti Ransomware Write Up.pdf >>> Полный технический отчёт на 24 страницах

Продемонстрированные навыки

• Методология расследования SOC