Runda 1

Runda 1 je počela…

Ponedeljak 10:47 - SOC tim kompanije Atreides prima upozorenje sa jedne Windows radne stanice.

Zaposleni iz finansijskog sektora prijavio je da je tokom jutra primio neočekivani e-mail sa naslovom:

„Invoice #84721 — Urgent Payment Required“

Poruka je sadržala ZIP arhivu sa dokumentom koji je, prema navodima pošiljaoca, trebalo da bude račun dobavljača.

Zaposleni je otvorio arhivu i pokrenuo fajl koji se u njoj nalazio.

Nekoliko sekundi kasnije:

• prozor dokumenta se kratko pojavio i nestao,
• Windows Defender je prikazao upozorenje,
• korisnikov računar je počeo da pokazuje neuobičajeno ponašanje,
• SOC je na mreži primetio novu komunikaciju sa eksternom IP adresom.

Nije poznato šta je korisnik zapravo pokrenuo.

Tvoj zadatak je da analiziraš početnu fazu incidenta i utvrdiš koje su posledice izvršenja malicioznog sadržaja.

Tvoj zadatak je da pronađeš sledeće:

• Koji je broj alerta koji imaju parent process sa nazivom “cmd.exe”? {number}
• Koji je naziv procesa koji je kreiran od strane parent procesa, a zajednički je za svaki od ovih alerta{*.exe}
• Koji je naziv Kibana rule-a po kojem je kreiran svaki od navedenih alerta? {string}
• Koji je naziv prvog (vremenski najraniji alert) kreiranog Scheduled Task-a? {string}
• Koji proces će se pokrenuti kao rezultat ovog windows task-a? {*.exe}
• U alertu koji se odnosi na Task sa nazivom “T1053_005_55244” koja Mitre framework tehnika (uključujući podtehniku) je detektovana {T1…}
• Na Mitre sajtu koji se odnosi na ovu tehniku, koja je oznaka (ID) za Detection Strategy {DE…}
• U Tasku sa nazivom “T1053_005_LOCAL_45484” koje je vreme zadato za startovanje taska? {hh:mm}

Kako runda funkcioniše

1. Na lab-u pokrećemo napade kroz Nemesis BAS (Breach and Attack Simulation) alat.
2. Događaji stižu u SIEM (Elastic).
3. Ti istražuješ, rekonstruišeš napad i mapiraš ga na MITRE ATT&CK gde možeš.
4. Poeni određuju plasman. Top 3 idu na pijedestal. Nagrade za učešće su takođe u igri.

Svake nedelje napad je ozbiljniji i teži za čitanje.