Có cách nào (pháp lý) để liệt kê các sự kiện/hành động trong quá khứ của một chương trình phần mềm độc hại *.exe nhất định (PUP-Proxygate, có thể là một Trojan) không?

Có một thư mục chứa các tệp *.exe đáng ngờ trên PC chạy Win 10 và có các giao thức (bên ngoài) có khả năng hành động bất hợp pháp đến từ PC đó vào một thời điểm nhất định trong quá khứ. Hành động đáng ngờ đầu tiên là lưu lượng mạng đến một hố sụt Địa chỉ IP điển hình cho hupigon trojan, trang thứ hai (vài ngày sau) đã đăng một nỗ lực lừa đảo trên nền tảng thương mại Internet.

PC trong câu hỏi đã được tắt nguồn chỉ bằng cách kéo cáp nguồn ngay sau khi hành động thứ hai được chú ý.

Ngay sau đó, PC đã thu giữ bởi chính quyền địa phương (những người đã được thông báo về hành động thứ hai bởi một nạn nhân tiềm năng của vụ lừa đảo).

Một hình ảnh có thể khởi động của PC tồn tại đã được kéo ra khỏi ổ C: sau khi tắt cứng.Hình ảnh đã được khởi động trên một PC tương tự. Quét Trendmicro AV và kiểm tra Virustotal tiếp theo đã tiết lộ (chỉ có) sau đây.

Kết quả quét AV của Trendmicro:

Thư mục "Proxygate" với các tệp thực thi:

kiểm tra virus

Là gì PUP-Proxygate ("Chương trình có khả năng không mong muốn")

Tôi đã bị nhiễm phần mềm quảng cáo ProxyGate như thế nào

Lưu trữ Internet http://proxygate.net

Cách xóa ProxyGate

Ngoài ra, tôi đã quét toàn bộ hệ thống hình ảnh ổ đĩa hệ thống của PC được đề cập bằng cách sử dụng Khám nghiệm tử thi/Bộ thám tử. Tuy nhiên, tôi không có kinh nghiệm phân tích thêm bằng Autopsy và sẽ cần hỗ trợ bắt đầu từ đâu:

tôi có những điều sau đây danh sách ID sự kiện theo một số công ty bảo mật AV nên được kiểm tra trong Trình xem sự kiện trong các sự kiện "Bảo mật":

1006, 1007, 1125, 4624, 4625, 4634, 4648, 4670, 4672, 4672, 4688, 4704, 4720, 4722, 4725, 4726, 4728, 4731, 4732, 4733, 4735, 4740, 4756, 4765, 4766, 4767, 4776, 4781, 4782, 4793, 5376, 5377

Có cách nào khác để tra cứu xem có bất kỳ tệp exe đáng ngờ nào đang hoạt động theo bất kỳ cách nào vào thời điểm đó hay không và nếu có, nó đang làm gì (ví dụ: mở tệp, truy cập địa chỉ internet, v.v.)?

Ngoài ra, có cách nào để xem bất kỳ hành động nào của bất kỳ chương trình nào tại các thời điểm cụ thể được đề cập (ngoài việc tìm kiếm Trình xem sự kiện) không?

Nếu bạn phải hỏi .. sau đó nó có lẽ sẽ không đủ để trả lời các câu hỏi thú vị:

1. các hệ thống bổ sung có bị xâm phạm không?
2. làm thế nào & khi nào nguyên thỏa hiệp xảy ra, trước sự kiện cụ thể làm bạn nghi ngờ?

Chắc chắn có nhiều cách để thiết lập hệ thống sao cho chúng truyền một lượng lớn các sự kiện có liên quan đến một vị trí an toàn (sao cho nhật ký không thể bị sửa đổi hồi tố), thường liên quan đến một số thứ như sysmon.

Nếu bạn không có điều đó vào thời điểm nghi ngờ, thì vẫn có khả năng có một số lượng bằng chứng hữu ích về chính hệ thống bị ảnh hưởng. Tùy thuộc vào môi trường của bạn và kỹ năng & ý định của bên độc hại, cách tốt nhất của bạn có thể là một trong

• tắt nguồn máy để ngăn chặn bằng chứng bị phá hủy hoặc
• ngăn chặn tắt nguồn máy để ngăn chặn bằng chứng bị tiêu hủy.

Một quyết định khó khăn tốt nhất được thực hiện bởi một chuyên gia pháp y. Dù sao đi nữa, bạn có thể muốn ký hợp đồng, bởi vì khi bạn khám phá thêm chi tiết về sự cố này, nó có thể yêu cầu các thủ tục hoặc kỹ năng mà bạn có thể không quen.