הזרקת CMD
וזיהוי התקפה
חלק 1

תמלול ההרצאה: הזרקת CMD וזיהוי התקפה חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «הזרקת CMD וזיהוי התקפה חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו אנחנו נתרגל זיהוי של תוכנות זדוניות באמצעות ETW. הדוגמה הראשונה שלנו כאן זה זיהוי של Strange Parenchine Relation. אז קודם כל אנחנו יכולים לראות כאן שיש לנו תוכנה, נניח, wininit.exe, שמפעילה תוכנת service.exe, שמפעיל svc host, שמפעיל איזשהו search app.exe.

2. 00:28

   זאת אומרת, תוכנה מפעילה תוכנה, process יוצר process חדש, תקין כשזאת כוונת המשורר כשזה הדיזיין המקורי אבל כשיש לי ספול סרוויס שאחראי על מדפסות ופתאום הוא מפעיל תוכנת cmd או whoami.exe זה לא תקין למה שתוכנת מדפסת תפעיל פקודת whoami.exe שזה מה שהאקר לרוב יפעיל כדי לבדוק עם איזה יוזר הוא הצליח לפרוץ זאת דוגמה

3. 00:55

   למשהו שהוא לא תקין ואנחנו נבצע את הדוגמה הזאת בעצמנו על ידי הזרקת cmd.exe לתוך spool Service שזו תוכנה שאחראית על הדפסות בואו נעשה את הדוגמה הזאת ביחד נראה איך הכל פה מתבצע ניכנס ל-Windows 11 נפתח את ה-Process Explorer ונחפש פה את ה-Spool Service אם אני אכנס לסרוויסים ואני אמצא כאן

4. 01:21

   Print Spooler סרוויס שכרגע רץ ברקע נעשה עליו דאבל קליק אנחנו נראה שזה בדיוק ספול סרוויס אקסי זה השם היפה שלו פרינס פולר זאת התוכנה שרצה ברקע אם אני אעשה פה לתוכנה הזאת רייט קליק ריסטארט אתם רואים פרוצס איי-די מתחלף למה כי התוכנה מפסיקה לעבוד אני עושה לה סטופ הפרוצס שלה מאט ואז אני עושה סטארט והיא עולה מחדש לזיכרון ומקבלת פרוצס

5. 01:49

   איי-די חדש אז כל פעם שאתם עוצרים תוכנה ומפעילים אותה מחדש היא מקבלת פרוצס איי-די חדש ומעבד מתחיל לטפל בה אז ה-Process ID כרגע זה 5868. בואו נוריד את הסינון שלנו ונעקוב אחריה בתוך העץ הזה, שלדעתי זה יותר יפה.

6. 02:08

   הנה היא פה, 5868. דרך אגב, חוץ מ-System Informer, שזה האקר פרוצס,