По следам RTM. Криминалистическое исследование компьютера, зараженного банковским трояном

[Naves]

1) У пользователей есть права на запуск исполняемых файлов из профиля. Тогда мы идем к вам.
2) Какой-то неправильный банковский троян. Перевел деньги — сразу удались.
Наблюдал последствия, как троян подменил файл выгрузки из 1с перед отправкой в банк-клиент. Выяснилось это только спустя неделю.
Смог найти подмененный файл по сигнатурам файла 1с в образе диска. Autoruns показал, что в автозагрузках пусто. Drweb livecd нашел только один какой-то trojan.downloader
По косвенным признакам троян подсадили давно. Личный ноутбук.
3) И в тему про удаления файлов. В win10 как ни странно, если удалять в файл в корзину, а потом ее чистить, вообще не остается следов от файла в оглавлении ФС, в отличие от всеми любимого shift+delete

[Pochemuk]

А как искать источник заражения, допустим, на терминальном сервере и с корпоративной почтой где-нибудь на PDD?

Пользователь получил письмо, ткнул, ничего не понял, удалил. Где концы?

[EditorF_A_C_C_T]

Олег Скулкин: «Тут зависит от конкретного инцидента. Если ты имеешь ввиду, что была компрометация терминального сервака, а потом с определенной учеткой начали лэтэрить по сети, тут, конечно, другое (такое, кстати, возможно, был на моей практике случай, когда заветное письмо открыл как раз доменный админ). Тем не менее, если у тебя есть имя учетки, ты уже примерно знаешь (а то и точно), каким имэйлом она пользуется, если доступ к PDD мылу осуществляется через браузер, можно копнуть туда, если используется почтовый клиент, всегда можно попробовать письмо восстановить. Более того, у многих трет акторов довольно определенный первоначальный вектор компрометации, что позволит тебе делать довольно неплохие предположения на основе анализа иных криминалистических артефактов».

[SandroSmith]

Простите, но я сломал себе мозг. В теории я догадываюсь о чём речь, но как расшифровуется PDD?

[Pochemuk]

Это яндексовский сервис «Почта для домена» для корпоративных пользователей.

Т.е. хостишь почту на Яндексе, но аккаунты имеют вид не [e-mail], а [e-mail]

Но они сейчас ее упразднили, а все аккаунты перенесли в Яндекс-коннект. Но я еще не разобрался, хуже или лучше стало. Но вот настройки алиасов искал долго с непривычки :D

Я имел в виду, что доступ к такой почте делается, обычно, по вебу (хотя снимать можно и почтовым клиентом и отправлять им же через сервера хостера). Т.е. на стороне сервера удаленное письмо через некоторое время уже не найдешь.
Пользователей на терминальном сервере достаточно много. Почти у всех есть корпоративный аккаунт.

Да… у меня запрещены выполнения пользователями MSI-пакетов и JS-скриптов. Но вот разрешать выполнение EXE по белому списку очень уж неудобно. Поэтому это источник неприятностей — получил по почте, сохранил, запустил, стер… но уже поздно.

[SandroSmith]

Т.е. хостишь почту на Яндексе, но аккаунты имеют вид не [e-mail], а [e-mail]

Ну, я так и думал. У Гугла тоже подобное есть (раньше даже забесплатно), поэтому и подумал, что это общеупотребительная аббривиатура.
И всё-же, как расшифровывается?

[Pochemuk]

Ну так и расшифровалОСЬ: Почта для домена.