RB-ANALYSIS-014: Hunt op persistence-mechanismen van malware

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Hunt op persistence-mechanismen van malware
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

Review persistence bij het opstarten
- Controleer:
  - Opstartmappen
  - Run keys in de registry
  - Opstartscripts
  - Login items
Stel scheduled tasks vast
- Review:
  - Nieuw aangemaakte taken
  - Verdachte uitvoeringspaden
  - Verhulde taaknamen
  - Verborgen taken
Review services
- Stel vast:
  - Nieuw geïnstalleerde services
  - Verdachte service-binaries
  - Niet-ondertekende service-executables
  - Ongebruikelijke servicebeschrijvingen
Review persistence via WMI
- Controleer op:
  - WMI-event subscriptions
  - Verdachte consumers
  - Kwaadaardige filters
Stel persistence via de registry vast
- Review:
  - Run keys
  - Wijzigingen aan de shell
  - Kaping van bestandskoppelingen
  - Uitzonderingen in Defender
Beoordeel de scope in de organisatie
- Stel vast:
  - Persistence op één host
  - Gedeelde persistence-patronen
  - Persistence via GPO's
  - Compromittering van meerdere hosts

Documenteer alle nieuw vastgestelde gecompromitteerde accounts, hosts en entiteiten die tijdens het onderzoek zijn ontdekt
Leg nieuwe IOC's (hashes, IP's, domeinen, accounts, tokens, signaturen) vast in het incidentticket

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.