Существует ли (криминалистический) способ перечислить прошлые события/действия определенной вредоносной программы *.exe (PUP-Proxygate, возможно, троян)?

На ПК с Win 10 есть папка с подозрительными файлами *.exe, и есть (внешние) протоколы потенциально противоправные действия поступающие с этого ПК в определенное время в прошлом. Первым подозрительным действием был сетевой трафик на воронка IP-адрес типичный для Хупигон троян, второй (несколько дней спустя) публиковал попытку мошенничества на платформе интернет-торговли.

Рассматриваемый ПК был выключен просто потянув за кабель питания вскоре после того, как было замечено второе действие.

Вскоре после этого ПК был схваченный местными властями (уведомленными о втором действии потенциальной жертвы аферы).

А загрузочный образ ПК существует, который был извлечен из диска C: после жесткого выключения.Образ уже был загружен на подобный ПК. Сканирование Trendmicro AV и последующая проверка Virustotal выявили (Только) последующий.

Результат антивирусного сканирования Trendmicro:

Папка "Proxygate" с исполняемыми файлами:

Проверка на вирустот

Что ПНП-проксигейт («Потенциально нежелательная программа»)

Как я заразился рекламным ПО ProxyGate

Интернет-архив http://proxygate.net

Как удалить ProxyGate

Кроме того, я выполнил полное сканирование системы образа системного диска рассматриваемого ПК, используя Вскрытие/Набор сыщика. Однако у меня нет опыта дальнейшего анализа с использованием Autopsy, и мне потребуется помощь, с чего начать:

у меня есть следующее список идентификаторов событий что, по мнению некоторых компаний, занимающихся безопасностью AV, следует проверять в средстве просмотра событий в разделе «Безопасность» события:

1006, 1007, 1125, 4624, 4625, 4634, 4648, 4670, 4672, 4672, 4688, 4704, 4720, 4722, 4725, 4726, 4728, 4731, 4732, 4733, 4735, 4740, 4756, 4765, 4766, 4767, 4776, 4781, 4782, 4793, 5376, 5377

Есть ли другой способ узнать, был ли какой-либо из подозрительных exe-файлов каким-либо образом активен в то время, и если да, то что он делал (например, открывал файлы, обращался к интернет-адресам и т. д.)?

В качестве альтернативы, есть ли способ увидеть какие-либо действия любой программы в определенное время (кроме поиска в средстве просмотра событий)?

Если вам нужно спросить .. тогда наверное не хватит за ответы на интересные вопросы:

1. скомпрометированы ли дополнительные системы?
2. как и когда оригинальный компромисс произошел до конкретного события, вызвавшего ваши подозрения?

Безусловно, существуют способы настроить системы таким образом, чтобы они передавали достаточное количество соответствующих событий в безопасное место (таким образом, что журналы не могли быть изменены задним числом), обычно с использованием чего-то вроде сисмон.

Если у вас не было этого в предполагаемое время, все еще есть шанс. некоторый количество полезных свидетельств о самой затронутой системе. В зависимости от вашей среды и навыков и намерений злоумышленника, ваш лучший выбор может быть одним из

• выключение машины, чтобы предотвратить уничтожение улик или же
• предотвратить отключение машины, чтобы предотвратить уничтожение улик.

Трудное решение, которое лучше всего принять судебно-медицинский эксперт. Тот, который вы, возможно, захотите заключить в любом случае, потому что, когда вы узнаете больше подробностей об этом инциденте, это, вероятно, требует процедур или навыков, к которым вы, возможно, не привыкли.