Unit42
Task 1：Event ID 11 有多少条？
Event ID 11 = FileCreate（文件创建）
用 Event Viewer 筛选 11，顶部显示计数为 56
PowerShell 一行命令：
1 | (Get-WinEvent -Path "Microsoft-Windows-Sysmon-Operational.evtx" | Where-Object { $_.Id -eq 11 }).count |
答案：56
Task 2：感染系统的恶意进程是什么？
Event ID 1 = ProcessCreate
筛选 Event ID 1（共 6 条），按时间排序，第二条即为可疑进程：
1 | C:\Users\CyberJunkie\Downloads\Preventivo24.02.14.exe.exe |
关键特征：
双扩展名
.exe.exe：利用 Windows 默认隐藏已知扩展名的行为，让用户误以为是一个文档下载目录：从
Downloads文件夹执行，符合钓鱼下载的攻击向量伪装名称：“Preventivo” 在意大利语中意为“报价/估算”，具有合法软件的外观
用 Sysmon 日志中的 Hashes 字段到 VirusTotal 查询，可确认该文件被多数引擎标记为恶意
答案：C:\Users\CyberJunkie\Downloads\Preventivo24.02.14.exe.exe
Task 3：使用了哪个云盘分发恶意软件？
Event ID 22 = DNSQuery
按时间排序，最早的 DNS 查询来自 firefox.exe，查询了 Dropbox 域名：
1 | uc2f030016253ec53f4953980a4e.dl.dropboxusercontent.com |
Event ID 15（FileCreateStreamHash）也确认了文件流来自 Dropbox
答案：Dropbox
Task 4：PDF 文件的时间戳被篡改为什么时间？
Event ID 2 = FileCreateTime（文件创建时间被修改），Sysmon 将其标记为 MITRE T1070.006（Timestomp）
在日志中搜索 1070.006 或直接查找 .pdf 相关事件，找到被篡改的时间戳
答案：2024-01-14 08:10:06
Task 5：once.cmd 在磁盘上的完整路径是什么？
Event ID 11（文件创建）中搜索 once.cmd：
1 | C:\Users\CyberJunkie\AppData\Roaming\Photo and Fax Vn\Photo and vn 1.1.2\install\F97891C\WindowsVolume\Games\once.cmd |
关键观察：
路径深度嵌套，位于用户
AppData\Roaming下，属于用户级持久化文件夹名 “Photo and Fax Vn” 伪装成正常应用目录
WindowsVolume\Games\模拟合法软件的子目录结构，增加隐蔽性
答案：C:\Users\CyberJunkie\AppData\Roaming\Photo and Fax Vn\Photo and vn 1.1.2\install\F97891C\WindowsVolume\Games\once.cmd
Task 6：恶意文件尝试连接哪个虚拟域名？
Event ID 22（DNS 查询）中，来自 Preventivo24.02.14.exe.exe 的查询：
1 | www.example.com |
example.com 是 IANA 保留的测试域名，恶意软件常用它来检测网络连通性，确认主机能够出网后再连接真实的 C2 服务器
答案：www.example.com
Task 7：恶意进程试图访问哪个 IP 地址？
Event ID 3 = NetworkConnect
筛选来自 Preventivo24.02.14.exe.exe 的出站连接：
1 | Destination IP: 93.184.216.34 |
该 IP 解析自 www.example.com，标记了 MITRE T1036（Masquerading）
答案：93.184.216.34
Task 8：恶意进程何时终止自己？
Event ID 5 = ProcessTerminate
查找 Preventivo24.02.14.exe.exe（PID 10672）的终止事件：
1 | 2024-02-14 03:41:58 |
自终止是投放器（Dropper） 的典型行为——部署持久化后门后，初始进程主动退出，只留下后门在后台运行
这也是为什么 Event ID 1（进程创建日志）至关重要：等到分析师调查时，投放器可能已经消失
答案：2024-02-14 03:41:58