Вы — SOC-аналитик. В сети компании обнаружена утечка конфиденциальных файлов. Вот что удалось собрать:
*️⃣В 09:15 сотрудник получил письмо с темой «Договор о защите информационных систем №-4513 на подпись» от якобы доверенного контрагента.
*️⃣В 09:20 он открыл вложение — файл contract_scanned.exe, маскирующийся под PDF.
*️⃣В 09:22 на его ПК (Windows 10) запустился процесс msbuild.exe с необычными аргументами:
/tmp:7a3f1 /payload:http://malware[.]xyz/get.dll
*️⃣ В 09:25 этот процесс подключился к IP 91.234.18.77 (порт 8443) и начал массово копировать файлы из сетевой папки \\NAS\Information\.
⬇️ Выбирайте ответ!
💬 Какие индикаторы компрометации (IOCs), помимо указанных в описании инцидента, можно выделить для дальнейшего поиска подобных атак в сети компании? Делитесь своими идеями!