Category: forensic

RunOnceキーについてのメモ

Posted on by Tony3

RunとRunOnceのレジストリキーは、どちらもユーザーのログイン時に指定されたプログラムや処理を自動実行する。 Runキーに登録された処理は、ユーザーがログインするたびに毎回実行されるが、RunOnceキーに登録された処理は、一度実行されると、キーから処理が削除される。 今回はRunOnceの挙動をテストしてみた。

IISサーバーのメモ

Posted on by Tony3

Apacheはどこに何のファイルがあるとか、なんとなく把握しているけど、IISはそうでもないのでメモ。

COMオブジェクト・ハイジャックとは

Posted on by Tony3

Component Object Model (COM) とは 主にWindows上で動作するソフトウェア間の相互通信を可能にするための技術仕様のこと。 この技術仕様に基づいて開発されたソフトウェアをCOMオブジェクトあるいはCOMコンポーネントと呼ぶ。 詳しくはこちら。

WMIを悪用したマルウェアの永続化

Posted on by Tony3

攻撃者がWindowsシステムにおいて、マルウェアや悪意のあるペイロードを永続化させて定期的に実行させたい場合、以下の仕組みを利用するのが定番です。 上記に加えてWMIを利用した永続化の方法もあります。個人的には、上述した永続化テクニックに比べると目にすることが少ないので、「そんな手法もある」という程度の認識だったのですが、最近このWMIを悪用した永続化のパターンを調査する機会があったので、ポイントをまとめておきます。