別のコピーを見つける
CoddyのCybersecurityジャーニー「侵害の調査」セクションの一部。レッスン 13/20。
ファイル名を変更しても、その中身は変わりません。不要なプログラムが、別のコンピューターで異なる名前で現れることがあります。
練習用ヘルパーのフィンガープリントを調べます。
seclab inspect artifacts demo-helper次の行を確認します。
demo-helper:
Expected SHA-256: 40f7e972c40034c1924e56ccbdeabaa292af38232f2f65882a1ae5ab81f34906
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7次に、名前の異なるコピーを調べます。
seclab inspect artifacts spare-tool次の行を確認します。
spare-tool:
Expected SHA-256: -
SHA-256: 6f98780313fed4bcc07f7a6adcf6dd348fc56606d1ae6b8d78a0b059cb9943e7ファイルの内容が同一なので、現在の SHA-256 値は一致しています。これにより、名前に頼らずに別のコピーを見つけられます。
フィンガープリントが一致すれば、内容が同一であることがわかります。そのコピーがどこで実行されているか、独自の起動エントリがあるかどうかは、引き続き確認する必要があります。あるコンピューターをクリーンアップしても、別のコンピューターはクリーンアップされません。
チャレンジ
簡単Sam（ITリード）からのチケット
roastery-pc からのファイルが、別の名前で label-server にコピーされました。現在のフィンガープリントを使って該当するファイルを見つけ、その ID を copy として記録してください。アップロードが成功する前にそのプロセスを停止し、ファイルを隔離して、スタートアップエントリを無効にしてください。チェックアウトが引き続き機能するようにしてください。
自分で試してみよう
ターミナル