LMハッシュは、それぞれ7文字のブロックを表す16文字の2つの半分に分割されます。元のパスワードが8文字未満の場合、LMハッシュの後半部分は常に定数になります。
「AAD3B435B51404EE」
この既知の値はパスワードの後半部分をパディングするために使用され、元のパスワードが
7文字以内。
オプションで：
B). 44EFCE164AB921CQAAD3B435B51404EE # AAD3B435B51404EE で終わる # 8 文字未満 E). B757BF5C0D87772FAAD3B435B51404EE # これも AAD3B435B51404EE で終わる # 8 文字未満 CEH v13 公式コースウェアより:
モジュール6：マルウェアの脅威 # LMハッシュの脆弱性
参考資料：CEH v13 学習ガイド - モジュール 6：パスワードクラッキング # LM ハッシュ構造と指標

包括的かつ詳細な説明：
TCPViewは、Windows Sysinternalsユーティリティであり、以下の情報をリアルタイムでグラフィカルに表示します。
* システム上のTCPおよびUDPエンドポイント
* 傾聴、確立、および終了状態
* 接続を使用した関連プロセス名
これは、リアルタイムのネットワークアクティビティを監視し、トラブルシューティングを行いたい管理者やアナリストにとって理想的なツールです。
CEH v13コースウェアより：
* モジュール 3: ネットワークのスキャン # ポートとサービスの検出ツール
誤った選択肢：
* A. Netstatは、プロセスに関連付けられたリアルタイム情報ではなく、スナップショット（静的）情報を提供します。
* C. Nmapはリモートスキャンに使用され、リアルタイムのローカル監視には使用されません。
* D. Lokiは、秘密裏の通信に使用される隠密チャネルツールです。
参考資料：CEH v13 学習ガイド - モジュール 3：TCPView と Netstat の比較、Microsoft Sysinternals - TCPView ドキ​​ュメント

マリアはファイルレスマルウェアを使用した可能性が最も高い。なぜなら、このシナリオでは、ペイロード実行ファイルをディスクに書き込まず、PowerShellとプロセスインジェクションを使用してメモリ内で完全に実行される悪意のある活動が明確に説明されているからである。CEHに準拠したマルウェア分類では、ファイルレスマルウェアは、PowerShell、WMI、cmd.exe、スクリプトエンジンなどの正規のシステムツール（「Living off the land」ユーティリティと呼ばれることが多い）を利用して、ファイルシステム上に従来のマルウェアファイルを作成することなく、攻撃者が制御するコードを実行するという特徴がある。多くの従来のアンチウイルスソリューションは、ディスク上のファイルのシグネチャベースのスキャンに大きく依存しているため、純粋にメモリ内で実行されることで、一般的なアンチウイルス検出を減らすか排除し、標準的なアンチウイルスログに最小限の痕跡しか残さないことができる。
また、説明には、再起動後にシステムが正常に戻ると記載されており、これはファイルレス動作を強く裏付けています。攻撃者が永続性を確立していない場合（たとえば、レジ​​ストリ実行キー、スケジュールされたタスク、サービス、または WMI イベントサブスクリプションを介して）、メモリがリセットされると、メモリ内のコードと注入された命令はクリアされます。「リソース使用量の異常な急増」は、信頼できるプロセス コンテキスト内で悪意のあるスクリプトが実行されていることと一致しており、攻撃者は、通常の動作アクティビティに溶け込み、単純な監視を回避するために、コードを注入またはリフレクション ロードする可能性があります。
他の選択肢が間違っている理由：ルートキットは主にシステムレベル（多くの場合カーネル/ドライバレベル）での深い隠蔽によるステルス性を重視しており、「ディスクに痕跡を残さない」PowerShellのみの実行ではなく、永続的な隠蔽を特徴としています。トロイの木馬は通常、正規のソフトウェアを装った悪意のあるプログラムであり、通常は配信された実行ファイルまたはアプリケーションに関係します。ランサムウェアはデータを暗号化して身代金を要求することで定義されますが、ここでは説明しません。
したがって、このテストと最も整合性の高い手法は、PowerShellを介して実行されるファイルレスマルウェアと、メモリのみへのインジェクションである。