RB-ANALYSIS-006: Analyse van de procesboom

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Analyse van de procesboom
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

Stel het eerste uitgevoerde proces vast
- Stel vast:
  - Het eerste uitvoerbare bestand
  - De bron van de start
  - De gebruikerscontext
  - Het tijdstip van uitvoering
Review de parent-child-relaties
- Stel vast:
  - Verdachte afstamming
  - Office-applicaties die scripts starten
  - Gebruik van LOLBins
  - Uitvoering van scriptinterpreters
Analyseer de command line-argumenten
- Controleer op:
  - Gecodeerde commando's
  - Misbruik van PowerShell
  - Download cradles
  - Obfuscatie
  - Verdachte parameters
Stel uitvoering van een tweede payload vast
- Zoek naar:
  - Aanvullende binaries
  - Gedownloade scripts
  - Uitvoering van DLL's
  - Injectiegedrag
Review de netwerkactiviteit
- Stel vast:
  - Externe verbindingen
  - C2-gedrag
  - DNS-activiteit
  - Beacon-intervallen
Correleer met gebruikersactiviteit
- Stel vast:
  - Is de uitvoering door de gebruiker gestart?
  - Was er phishing bij betrokken?
  - Was er uitvoering op afstand bij betrokken?

Zorg dat alle analysestappen en bevindingen volledig in het incidentticket zijn vastgelegd

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.