Одно вложение на всех
Компания: ТОО «Алтын Строй»
Вводная
ТОО «Алтын Строй» — строительная компания. Сотрудник сообщил в поддержку о подозрительном письме. Вопрос, на который вам нужно ответить, не «подозрительное ли оно», а «сколько ящиков его получили».
Это принципиально: от охвата зависит, что делать дальше. Одно письмо — разговор с одним человеком. Десять ящиков — оповещение всей компании, проверка каждой станции и работа с почтовым шлюзом.
Перед вами выгрузка писем за день по всем ящикам домена altyn-stroy.example. У писем есть конверт, результаты проверок и вложения с хэшами.
Артефакты
Те же данные в файлах для настоящих инструментов: откройте в Wireshark, Excel или загрузите в Elastic. Ответы сойдутся — данные одни.
Письма · 24
Выберите письмо, чтобы посмотреть заголовки
Вопросы
0/7 · 0/110 очков
Войдите, чтобы сохранять прогресс и попадать в рейтинг.
Какой хэш у вложения, пришедшего на несколько ящиков?
Формат: 64 шестнадцатеричных символа · 20 очков
Сколько ящиков получили это вложение?
Формат: Целое число · 20 очков
С какого домена пришла рассылка?
Формат: Доменное имя · 15 очков
Как называется вложение?
Формат: Имя файла с расширением · 15 очков
Когда пришло первое письмо рассылки? Время UTC.
Формат: ГГГГ-ММ-ДД ЧЧ:ММ:СС · 15 очков
С какого адреса эти письма были приняты?
Формат: IPv4-адрес · 15 очков
Какой техникой MITRE ATT&CK описывается письмо с вредоносным вложением?
Формат: Идентификатор вида T1234.001 · 10 очков