参照：
#:~:text=文字列の難読化は、コード実行時のデータです。

根本原因分析レポートの主な目的は、ランサムウェアがシステムに感染した原因を特定することです。Cisco Cyber​​Ops Associateガイドでは、インシデント発生時に実際に悪用された脆弱性を特定し、軽減することの重要性が強調されています。これらの脆弱性には、古いソフトウェア、パッチ未適用のシステム、不十分なアクセス制御などが含まれます。暗号化技術やC2サーバを理解することは脅威インテリジェンスには役立ちますが、根本原因の解明には役立ちません。
ガイドには次のように書かれています。
「効果的なIRは、セキュリティインシデントから収集された情報を活用して、専門家が侵入とその機能をより深く理解するのに役立ちます...このデータは、セキュリティチームが将来のインシデントに対処するための準備と装備を整えるのに役立ちます。」
悪用された脆弱性を特定することで、パッチ管理、構成の強化、攻撃対象領域の縮小などの将来の防止戦略が可能になります。
-

MITRE ATT&CKマトリックスによると、暗号化されたトラフィックがHTTP（ポート80）などの正当なプロトコルを経由して悪意のないドメインにトンネリングされる場合、これは「非対称暗号化非C2プロトコルによる情報漏洩」（T1048.002）という戦術に該当します。攻撃者は、本来は無害なトラフィックの中に情報漏洩を隠蔽しようとしています。

この展示では、スクリプト エンジンと難読化されたコマンドが関係する疑わしいチェーンを形成する一連のプロセス実行が示されています。
* 重要な指標の1つは、難読化された（Base64でエンコードされた）引数でPowerShellを実行するcmd.exeである
Base64の使用は、攻撃者が悪意のあるコマンドを隠すために用いる既知の手法です。これは、MITRE ATT&CK T1059（コマンドおよびスクリプトインタープリタ）およびT1086（PowerShellの悪用）で定義されている攻撃手法と一致しています。したがって、選択肢Dは有効です。
* もう一つの重要なIOCは、WScript.exeがcmd.exeの親として動作することです。これは、一般的なビジネス環境では異常です。これは、Windows Script Host（WSH）をコマンド実行に悪用する可能性があることを示唆しており、フィッシングやマルウェアドロッパーのシナリオでよく見られます。したがって、オプションEも有効です。
オプション A と B 自体は決定的な IOC ではありません。PowerShell と cmd.exe は正当な管理ツールであり、Windows 環境で頻繁に使用されます。
オプション C は、この展示ではサポートされていません。その逆 (WScript.exe によって開始された powershell.exe) が見られ、その逆は見られません。
これらのパターンは、インタープリター (例: WScript # cmd # PowerShell) とエンコードされたコマンドの連鎖がフォレンジック分析中の侵害の重要な指標であると規定している Cyber​​Ops Technologies (CBRFIR) 300-215 学習ガイドと一致しています。
参考資料:Cyber​​Ops Technologies (CBRFIR) 300-215 学習ガイド、ホストベースのアーティファクトとコマンドライン分析における悪意のあるアクティビティの特定に関する章。