RB-ANALYSIS-025: Analyse van scriptuitvoering

Documentbeheer

Kenmerk	Waarde	Datum
Documentnaam	Analyse van scriptuitvoering
Versie	[Versienummer invullen]	[Datum invullen]
Eigenaar	[Eigenaar/team invullen]	[Datum invullen]
Status	[Draft/Approved/Retired]	[Datum invullen]
Volgende reviewdatum	[Volgende reviewdatum invullen]	[Datum invullen]
Goedkeuringen	[Goedkeurder(s) invullen]	[Datum invullen]
Wijzigingsoverzicht	Eerste versie	[Datum invullen]

1. Vereisten

Zorg voordat je met dit runbook begint voor het volgende:

Toegang tot EDR-telemetrie
Toegang tot SIEM-telemetrie
Logs van scriptuitvoering zijn beschikbaar
PowerShell-logging staat aan waar van toepassing
De hostnaam van het endpoint is vastgesteld
De gebruikerscontext is vastgesteld
Er is een incidentticket aangemaakt

2. Stap-voor-stap-instructies

Stel de scriptuitvoering vast

Stel vast of bij de uitvoering het volgende betrokken was:
- PowerShell
- Python
- Batchbestanden
- VBScript
- JavaScript
- HTA-bestanden
- Windows Script Host
- Bash
- Shellscripts
- Andere geïnterpreteerde code
Documenteer:
- Type script
- Uitvoeringsmethode
- Tijdstip van uitvoering
- Gebruikerscontext
Verzamel de scriptartefacten

Verzamel:
- Het scriptbestand
- Het scriptpad
- De command line
- Het parent process
- De child processes
- Uitvoeringslogs
- Bijbehorende bestanden
Bewaar de artefacten voordat ze worden gewijzigd of verwijderd.
Stel de herkomst van het script vast

Stel de bron van de uitvoering vast:
- Door de gebruiker gemaakt script
- Gedownload script
- E-mailbijlage
- Browserdownload
- Netwerkshare
- Cloudopslag
- Beheertooling
- Systeem voor software-uitrol
Documenteer de herkomst en de manier van verkrijgen.
Review de inhoud van het script

Analyseer op:
- Aanmaken van bestanden
- Wijzigingen in de registry
- Aanmaken van scheduled tasks
- Aanmaken van services
- Credential access
- Netwerkcommunicatie
- Downloadfunctionaliteit
- Aanmaken van processen
Controleer op verdacht of kwaadaardig gedrag.
Beoordeel de obfuscatie

Controleer op:
- Base64-codering
- Aan elkaar geplakte strings
- Variabelensubstitutie
- Compressie
- Versleuteling
- Reflection
- Dynamisch gegenereerde code
Als er obfuscatie is:
- Decodeer veilig
- Bewaar de gedecodeerde inhoud
- Documenteer de bevindingen
Review de netwerkactiviteit

Stel vast:
- Downloadactiviteit
- Uploadactiviteit
- Externe verbindingen
- Toegang tot cloudopslag
- Command-and-control-communicatie
Correleer de netwerkactiviteit met de scriptuitvoering.
Beoordeel de bedoeling van de uitvoering

Stel vast of het script is gebruikt voor:
- Beheer
- Automatisering
- Aflevering van malware
- Persistence
- Credential theft
- Discovery
- Klaarzetten van data
- Data-exfiltratie
- Lateral movement
Documenteer de onderbouwing.
Stel aanvullende activiteit vast

Review:
- Gerelateerde scripts
- Vergelijkbare uitvoeringen
- Activiteit van dezelfde gebruiker
- Activiteit op hetzelfde endpoint
- Bijbehorende persistence-mechanismen
Vergroot de scope van het onderzoek waar nodig.
Escaleer indien nodig

Als het bewijs op een ander type incident wijst:

Activeer:
- PB-003 Endpoint Malware
- PB-004 Account Takeover
- PB-005 Data Exfiltration
- PB-007 Cloud Compromise
- PB-009 Privilege Escalation
- PB-010 Lateral Movement
Ga tegelijk door met het huidige playbook.
Werk het incidentrecord bij

Leg vast:
- Type script
- Herkomst van het script
- Functionaliteit van het script
- Gedecodeerde inhoud
- Bijbehorende activiteit
- Escalatiebesluiten
Voeg ondersteunend bewijs toe.

3. Na afloop

Na afronding:

Zorg dat de scriptartefacten zijn bewaard
Zorg dat de gedecodeerde inhoud is vastgelegd
Zorg dat de bron van de uitvoering is vastgesteld
Zorg dat de escalatiebesluiten zijn vastgelegd
Zorg dat het incidentticket is bijgewerkt

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.