Расследуя инцидент, мы обнаружили полезный артефакт smb_context

💻 Расследуя инцидент, мы обнаружили полезный артефакт smb_context

C:\Windows\SysWOW64\smb_context.log — журнал событий smb от одного именитого антивирусного вендора.

Механизм работы пока не исследован нами до конца, но мы выяснили: анализируя данный журнал, можно обнаруживать факты выполнения команд, в частности, с использованием утилиты smbexec, а также факты доступа к файлам на диске.

Журнал может содержать следующие события:

PDMSmbFileAccessed
PDMSmbCreateFile
PDMSmbRenameFile

Пример:

<BeginStream>
PDMSmbFileAccessed("$windir\__1715675753.48",00000011000000000010010100100000,1399528814);
PDMSmbFileAccessed("$system32\cmpspy.dll",00001011110000000010001100100001,1399106043);
PDMSmbFileAccessed("$system32\reg.bat",00001011110000000010001100100001,1399106043);
<EndStream>

<BeginStream>
PDMSmbFileAccessed("$windir\psexesvc.exe",00001010100000000010001100100001,405741904);
<EndStream>

#tool #detect #hunt
@ptescalator