Na madrugada do último domingo, a infraestrutura da TechPharma foi alvo de um ataque de ransomware da variante "LockBit". A equipe de TI isolou a rede logo após detectar o incidente e acionou você como Perito Forense Digital. Ao chegar ao local, o servidor principal (Windows Server) estava ligado. Você imediatamente realizou a captura da memória RAM, gerando o arquivo memoria_srv.raw, e posteriormente fez a imagem pericial do disco rígido. Durante a análise inicial dos logs de segurança do Windows (Event Viewer), exportados no formato .evtx, você se deparou com o seguinte registro de evento que ocorreu horas antes da criptografia dos arquivos:
Task Category: Logon
Account Name: Administrator
Failure Reason: Unknown user name or bad password.
Caller Process Name: C:\Windows\System32\svchost.exe
Source Network Address: 198.51.100.45
(Nota: este log se repetiu 450 vezes em um intervalo de 3 minutos).
Assuma o seu papel de Perito Forense e redija o Relatório de Análise Técnica Inicial. Para isso, responda de forma prática aos três itens a seguir:
a. Considerando que você precisa descobrir quais processos estavam em execução no momento da captura da memória, qual linha de comando exata do framework Volatility 3 você utilizaria para listar a árvore de processos do arquivo memoria_srv.raw? Justifique por que essa análise em memória é superior à análise em disco para encontrar malwares do tipo fileless (sem arquivo).
b. Cite uma ferramenta de mercado gratuita e descreva o passo a passo prático de como você a utilizaria para gerar o Hash SHA-256 da imagem do disco, garantindo a integridade da evidência.
c. Com base no trecho de log fornecido no texto-base, identifique qual foi o provável vetor inicial de entrada (tipo de ataque), o usuário alvo e o endereço IP do atacante. Explique sua conclusão com base no Event ID e no comportamento observado.
Nossa equipe é composta por profissionais especializados em diversas áreas, o que nos permite oferecer uma assessoria completa na elaboração de uma ampla variedade de atividades. Estamos empenhados em garantir a autenticidade e originalidade de todos os trabalhos que realizamos.
Ficaríamos muito satisfeitos em poder ajudar você. Entre em contato conosco para solicitar o seu serviço.
