Muhasebe iş istasyonunda fidye yazılımı: bir ekten kilitlenen 295 dosyaya

01Oturum planı

Malzemeler: her katılımcının bilgisayarında paket dosyaları, paket sayfasından yazdırılmış bir çalışma kâğıdı ve bir inceleme günlüğü formu. Paket sayfası →

02Cevap anahtarı

1. S011 puan

   usn-journal.csv dosyasının bir kopyası üzerinde SHA-256 değerini hesaplayın, manifest.txt ile karşılaştırın ve ilk sekiz onaltılık karakteri girin.

   Cevap19403d70

   Ön ek, bildirim satırıyla eşleşir. Günlük, en çok süzeceğiniz ve sayacağınız dosyadır; yalnızca aslını değil üzerinde çalıştığınız kopyayı da hash'leyin.

   Nerede

   manifest.txt, usn-journal.csv satırı.

   Olağan hata

   Bir elektronik tablo uzun USN numaralarını biçimlendirip dosyayı kaydettikten sonra hash'lemek.

   Hash hesaplayıcıF-04 İnceleme günlüğüSOP-02 Delil kabul ve kayıt

2. S022 puan

   E-posta ağ geçidi, disk görüntüsü eki taşıyan iletiyi d.ercan için ne zaman kabul etti? Zamanı UTC olarak verin.

   Cevap2026-06-16 06:58:12

   Ağ geçidi satırı yerel saatle (UTC+3) 09:58:12 der; ileti 06:58:12 UTC'de kabul edilmiştir. USN günlüğü, Outlook veri dosyasının aynı UTC saniyesinde yazıldığını gösterir; bu, iki saati birbirine bağlar.

   Nerede

   mail-gateway.csv, Fatura_Haziran_2026.iso ekli d.ercan satırı; export-metadata.txt, 5. dışa aktarım; usn-journal.csv, 06:58:12'deki .ost satırı.

   Olağan hata

   Satırda aksi yazmadığı için 09:58:12'yi UTC diye almak.

   E-posta üst bilgi alanları (Received, Date, From, Message-ID)Yerel saatten UTC'ye

3. S031 puan

   d.ercan'ın aldığı ekle aynı SHA-256 değerine sahip bir eki kaç posta kutusu aldı?

   Cevap4

   mail-gateway.csv dosyasını .iso ekinin attachment_sha256 değeriyle süzün: iki saniye içinde dört alıcı, hepsi clean kararıyla teslim edilmiş. Üç posta kutusunda daha aynı dosya var ve bugün denetlenmeleri gerekir; rapor ilk kontrol altına alma adımı olarak bunu söylemelidir.

   Nerede

   mail-gateway.csv, attachment_sha256 ve recipient sütunları.

   Olağan hata

   Yalnızca konu ya da gönderenle aramak veya yalnızca etkilenen kullanıcının posta kutusunu saymak.

4. S041 puan

   Disk görüntüsünden başlatılan işlem bir dosya indirir. Hangi adresten?

   Cevap203.0.113.45

   07:04:31'de cmd.exe, CurrentDirectory değeri E:\ (bağlanan görüntü) ve üst işlemi explorer.exe olarak başlar: kullanıcı görüntünün içindeki bir kısayolu açmıştır. Onun PowerShell alt işlemi 203.0.113.45:80'e bağlanır ve bir saniye sonra C:\Users\Public\k.dat dosyasını yazar; ardından rundll32.exe k.dat'ı yükler ve aynı adrese yaklaşık beş dakikada bir 443 kapısından bağlanır.

   Nerede

   sysmon-events.csv, 07:04:31 ve 07:04:32'deki 1 olayları, 07:04:33'teki 3 olayı, 07:04:34'teki 11 olayı.

   Olağan hata

   Outlook bağlantılarının posta sunucusu adresini ya da gönderenin alan adını vermek.

   Windows XML Olay Günlüğü (EVTX)

5. S052 puan

   Microsoft Defender'ın gerçek zamanlı koruması ne zaman kapatıldı? UTC.

   Cevap2026-06-16 09:31:03

   5007 olayı DisableRealtimeMonitoring değerinin 0x0'dan 0x1'e değiştiğini kaydeder; 5001 olayı aynı saniyede gelir. Sysmon nedeni bir saniye önce gösterir: Yüksek bütünlük düzeyinde Set-MpPreference -DisableRealtimeMonitoring $true çalıştıran powershell.exe.

   Nerede

   defender-events.csv, 5007 ve 5001 olayları; sysmon-events.csv, 09:31:02'deki powershell.exe.

   Olağan hata

   Defender'ın hâlâ çalıştığı an olan 09:20:44 tespit zamanını vermek.

6. S062 puan

   Defender 09:20'de bir fidye yazılımı dosyasını tespit edip karantinaya aldı. Şifreleme yirmi dakika sonra yine de neden başladı?

   CevapB — Karantina çalıştı, ama dosyayı bırakan implant hiç tespit edilmedi; Yüksek bütünlük düzeyi kazandı, gerçek zamanlı korumayı 09:31:03'te kapattı ve aracı hiçbir şeyin taramadığı C:\ProgramData\Intel\igfx.exe olarak geri getirdi.

   1117 olayı karantinanın başarılı olduğunu bildirir; USN günlüğü 09:20:45'te kl.exe'nin silindiğini ve bir karantina kaynağının yazıldığını gösterir. rundll32.exe içindeki k.dat yükleyicisi hiç tespit edilmedi. İmzalar o sabah 08:21'de güncellenmişti; eksik olan, igfx.exe 09:33:15'te gelmeden önce kapatılan gerçek zamanlı korumaydı.

   Nerede

   defender-events.csv, 1116, 1117, 2000 ve 5001; usn-journal.csv, kl.exe ve igfx.exe satırları; sysmon-events.csv, 09:33:15'teki 11 olayı.

   Olağan hata

   Kayıtlar korumanın kapatıldığını gösterirken virüsten korumanın başarısız olduğu sonucuna varmak.

7. S071 puan

   Fidye notlarını hangi program yazdı? Tam yolu verin.

   Cevapc:\programdata\intel\igfx.exe

   OKU_BENI.txt için her Sysmon 11 olayında görüntü C:\ProgramData\Intel\igfx.exe ve işlem kimliği aynıdır; bu, 09:41:30'da --yol C:\Users\d.ercan --ag bağımsız değişkenleriyle başlayan işlemdir. Klasör adı bir grafik sürücüsünü taklit eder.

   Nerede

   sysmon-events.csv, OKU_BENI.txt için 11 olayı satırları ve 09:41:30'daki 1 olayı.

   Olağan hata

   Yirmi dakika önce karantinaya alınmış olan kl.exe'yi cevap vermek.

   Windows XML Olay Günlüğü (EVTX)

8. S082 puan

   İmplant Orta bütünlük düzeyinde çalışıyordu, ama vssadmin.exe ve igfx.exe Yüksek düzeyde çalıştı. Dosyalar hangi okumayı destekler?

   CevapC — HKCU altındaki ms-settings işleyicisi bir PowerShell betiğine yönlendirildi ve yöneticiler için onay sormadan yükselen fodhelper.exe onu Yüksek bütünlük düzeyinde başlattı; yükseltilmiş işlemler kullanıcının yükseltilmiş oturum kimliği 0x2C41A07'yi taşır.

   Sysmon 13, iki kayıt defteri değerini 09:27:49 ve 09:27:50'de kaydeder; fodhelper.exe 09:27:51'de Yüksek düzeyde başlar ve alt işlemi PowerShell betiğidir; Sysmon 12 anahtarın 09:28:20'de silindiğini gösterir. Kullanıcının iş istasyonu 09:05:12'den 10:11:48'e kadar kilitliydi (4800 ve 4801); dolayısıyla hiçbir onay penceresi cevaplanmadı. İki oturum kimliği 06:28:40'taki aynı oturum açmadan gelir: 0x2C41A3E filtrelenmiş, 0x2C41A07 yükseltilmiş.

   Nerede

   sysmon-events.csv, 09:27:48 ile 09:28:20 arasındaki 13, 1 ve 12 olayları; security-events.csv, 06:28:40'taki iki 4624 satırı ve 4800/4801.

   Olağan hata

   Bir kullanıcının iki oturum kimliğini iki kişi ya da iki ayrı oturum diye okumak.

9. S091 puan

   Birim gölge kopyalarını hangi program sildi? Dosya adını verin.

   Cevapvssadmin.exe

   09:40:05'te vssadmin.exe delete shadows /all /quiet, yükseltilmiş PowerShell altında Yüksek düzeyde çalışır. Dört saniye sonra wbadmin.exe yedek kataloğunu siler ve bcdedit.exe Windows kurtarmasını kapatır: şifreleme başlamadan önce geri dönüş yollarını kaldıran üç adım.

   Nerede

   sysmon-events.csv, 09:40:05, 09:40:09 ve 09:40:12'deki 1 olayı satırları.

   Olağan hata

   Gölge kopyaları değil yedek kataloğunu silen wbadmin.exe'yi cevap vermek.

   Birim Gölge Kopyaları

10. S102 puan

    Uzantısı .kilit olacak şekilde ilk dosya ne zaman yeniden adlandırıldı? UTC.

    Cevap2026-06-16 09:41:33

    Uzantısı .kilit olan ilk RenameNewName kaydı Documents\Muhasebe\2025 klasöründedir; aynı klasördeki ilk notun oluşturulmasından bir saniye sonra. Aynı kayıt numarası bir saniyeden kısa süre önce üzerine yazılmıştır (DataOverwrite): içerik yerinde değiştirilmiş, sonra ad değişmiştir.

    Nerede

    usn-journal.csv, UpdateReasons = RenameNewName ve Extension = .kilit süzgeci, ilk satır.

    Olağan hata

    igfx.exe'nin başlangıcını (09:41:30) ya da ilk notu (09:41:32) ilk şifrelenen dosya diye vermek.

    $UsnJrnl:$J (USN değişiklik günlüğü)

11. S112 puan

    C: biriminde kaç dosya .kilit uzantısıyla yeniden adlandırıldı?

    Cevap295

    Her yeniden adlandırma, aynı kayıt ve sıra numarasıyla önce RenameNewName, sonra RenameNewName|Close yazar; bu yüzden yeni adı taşıyan 590 satır vardır. Farklı EntryNumber ve SequenceNumber çiftlerini ya da UpdateReasons değeri tam olarak RenameNewName olan satırları saymak 295 dosya verir. O sabahki dokuz RenameNewName satırı daha, Excel'in çalışma kitaplarını geçici dosya üzerinden kaydetmesidir ve şifrelemeyle ilgisi yoktur.

    Nerede

    usn-journal.csv, Extension, UpdateReasons, EntryNumber ve SequenceNumber sütunları.

    Olağan hata

    .kilit içeren satırları (590) ya da dosyadaki bütün RenameNewName kayıtlarını (304) saymak.

    $UsnJrnl:$J (USN değişiklik günlüğü)

12. S121 puan

    Kaç klasörde bir fidye notu oluşturuldu?

    Cevap15

    Günlükte OKU_BENI.txt için her biri farklı bir klasörde on beş FileCreate kaydı ve igfx.exe'ye ait on beş Sysmon 11 olayı vardır. Notu anan on altıncı Sysmon satırı 10:14:05'teki notepad.exe'dir: aracın yazması değil, kullanıcının açmasıdır.

    Nerede

    usn-journal.csv, Name = OKU_BENI.txt ve UpdateReasons = FileCreate; sysmon-events.csv, 11 olayı.

    Olağan hata

    OKU_BENI.txt geçen her satırı saymak.

13. S132 puan

    USN günlüğü bir değişikliği hangi işlemin yaptığını kaydetmez. .kilit yeniden adlandırmalarını igfx.exe'ye ne bağlar?

    CevapC — Yeniden adlandırmalar igfx.exe başladıktan üç saniye sonra başlar, her klasördeki yoğunlaşma Sysmon'un aynı saniyede igfx.exe'ye bağladığı bir notun ardından gelir ve igfx.exe dosya sunucusuna bağlanmadan sekiz saniye önce biter: ikisini zamanlama ve notlar bağlar, günlük tek başına bağlamaz.

    Bağlantı iki kaynaktan yapılan bir çıkarımdır ve rapor bunu böyle söylemelidir: o aralıkta başka bir işlem başlatılmadı, notlar Sysmon tarafından ilişkilendirilir, dosyaları ve sırayı günlük verir. Bir uzantı bir işlem hakkında hiçbir şey kanıtlamaz.

    Nerede

    usn-journal.csv, .kilit satırları; sysmon-events.csv, igfx.exe'nin 1, 11 ve 3 olayları.

    Olağan hata

    Günlüğün dosyaları igfx.exe'nin yeniden adlandırdığını gösterdiğini yazmak.

    $UsnJrnl:$J (USN değişiklik günlüğü)SOP-08 İnceleme notları ve çalışma kaydı

14. S142 puan

    Disk görüntüsünden başlayan zincirin başlangıcıyla ilk .kilit yeniden adlandırması arasında kaç tam dakika geçti?

    Cevap157

    E:\ içindeki 07:04:31 cmd.exe olayından 09:41:33'teki ilk yeniden adlandırmaya kadar 2 saat 37 dakika 2 saniye geçer: 157 tam dakika. İki zaman da UTC olduğu için doğrudan çıkarılabilir. Bu aralıkta 08:47'de keşif, 09:20'de ilk deneme ve ardından gelen hazırlık görülür; yükleyicinin tespit edilmesinin şifrelemeyi durduracağı süre budur.

    Nerede

    sysmon-events.csv, CurrentDirectory değeri E:\ olan 07:04:31'deki 1 olayı; usn-journal.csv, ilk .kilit RenameNewName.

    Olağan hata

    Başlangıcı yerel saatli ağ geçidi zamanından ya da ekin kaydedilmesinden almak.

15. S152 puan

    Not, bağlı paylaşımlardaki dosyaların da şifrelendiğini söylüyor. Bu paket \\KZL-FS02\Muhasebe hakkında ne söyleyebilir?

    CevapC — igfx.exe 09:55:06'da 192.0.2.20:445'e bir SMB bağlantısı açtı ve paylaşım kullanıcı için eşlenmişti (08:50:31'de net use); oradaki dosyaların değişip değişmediği ve hangilerinin değiştiği ancak toplanmamış olan KZL-FS02'nin kendi dosya sistemi ve günlüklerinden gösterilebilir.

    C: biriminin günlüğü başka bir bilgisayarın birimindeki değişiklikleri kaydedemez ve fidye notu saldırganın iddiasıdır. İş istasyonu bir bağlantı ve eşlenmiş bir sürücü gösterir; geri kalanı için sunucunun incelenmesi gerekir ve rapor bunu talep etmelidir.

    Nerede

    sysmon-events.csv, igfx.exe'nin 445 kapısına 3 olayı ve 08:50:31'deki net use; export-metadata.txt, Not in this pack bölümü.

    Olağan hata

    Fidye notunu neyin şifrelendiğinin kanıtı saymak.

16. S162 puan

    İnceleyen kişi yalnızca bu dosyalara dayanarak hangi cümleyi imzalayabilir?

    CevapC — 07:04:31 UTC'de, 06:58 UTC'de dört posta kutusuna teslim edilen Fatura_Haziran_2026.iso disk görüntüsündeki bir kısayol, 203.0.113.45 ile iletişim kuran bir yükleyiciyi başlattı; iş istasyonu kilitliyken yükleyici fodhelper.exe ile yetki yükseltti, 09:31:03'te gerçek zamanlı korumayı kapattı, gölge kopyaları sildi ve C:\ProgramData\Intel\igfx.exe'yi çalıştırdı; ardından C: üzerindeki 295 dosyanın içeriği 09:41:33 ile 09:54:58 UTC arasında değiştirildi ve adları .kilit olarak değiştirildi; dosya sunucusuyla 09:55:06'da bağlantı kuruldu, ancak sunucu incelenmedi.

    c cümlesi her eylemi bir kayda bağlar, baştan sona UTC kullanır, satırları değil dosyaları sayar ve sunucuya ilişkin sınırı belirtir. a cümlesi, iş istasyonu kilitliyken gerçekleşen şifrelemenin faili olarak bir kişiyi adlandırır ve sunucu hakkında iddiada bulunur. b cümlesi satırları sayar ve kapatılmış bir korumayı başarısızlık diye adlandırır. d cümlesi kurtarmayı delille karıştırır: gölge kopyaların silinmesinden sonra günlük ve olay kayıtları yerinde durur.

    Nerede

    Beş veri dosyasının tamamı; c cümlesindeki her olgu bunlardan birinden gelir.

    Olağan hata

    Kayıtların taşıdığı anlatı yerine vakanın düşündürdüğü anlatıyı yazmak.

    F-04 İnceleme günlüğüSOP-09 Raporlama ve akran incelemesi

03Kurulan kronoloji

Doğru cevaplarla kurulan zaman çizelgesi. Yerel saat UTC+3'tür.

04Puanlama

1–11. sorular birer puan, 12. soru üç puan değerindedir: toplam 26 puan. Bulgu paragrafı puanla değerlendirilmez; aşağıdaki dört ölçüte göre işaretleyin ve değerlendirmede tartışın.

Bulgu paragrafı: ölçütler

• Her zaman kendi esasını taşır; ağ geçidi zamanı ve notun son tarihi yerel saatten çevrilir.
• Satırlar değil dosyalar sayılır; Excel'in kendi yeniden adlandırmaları sayının dışında tutulur.
• Günlük ile işlem arasındaki bağlantı, günlüğün gösterdiği bir şey olarak değil, zamanlama ve Sysmon'dan yapılan bir çıkarım olarak belirtilir.
• Rapor korumanın kapatıldığını ve nasıl kapatıldığını söyler; bunu bir tespit başarısızlığı olarak adlandırmaz.
• Rapor diğer üç posta kutusunu adlandırır ve dosya sunucusunun incelenmesini talep eder.

05Değerlendirme

1. Fidye yazılımı son adımdır. Durdurulabileceği ve nasıl girdiğinin kanıtlarının bulunduğu yer ondan önceki iki buçuk saattir.
2. Karantina, kontrol altına alma değildir. Soru her zaman dosyayı neyin bıraktığıdır.
3. USN günlüğü neyin hangi sırayla şifrelendiğinin en iyi kaydıdır ve işlemi hiçbir zaman adlandırmaz. Bunu raporda söyleyin.
4. Fidye notu saldırganın anlatımıdır. Paylaşımlar ve veriler hakkında söylediklerini sınanacak bir iddia olarak ele alın.

06Örnek bulgu

16 Haziran 2026'da e-posta ağ geçidi, Fatura_Haziran_2026.iso ekli bir iletiyi 06:58 UTC'de dört posta kutusu için kabul etti (mail-gateway.csv, yerel 09:58). KZL-MUH07 üzerinde 07:04:31 UTC'de bağlanan görüntüden (CurrentDirectory E:\) cmd.exe başladı ve PowerShell 203.0.113.45'ten k.dat'ı indirdi; rundll32.exe bunu yükledi ve 10:27'ye kadar yaklaşık beş dakikada bir bu adresle iletişim kurdu (sysmon-events.csv). Defender, C:\Users\Public\svc\kl.exe dosyasını 09:20:45'te karantinaya aldı. İş istasyonu kilitliyken (09:05:12 ile 10:11:48 arası, security-events.csv) 09:27:51'de fodhelper.exe üzerinden Yüksek bütünlük düzeyinde bir PowerShell betiği başlatıldı, gerçek zamanlı koruma 09:31:03'te kapatıldı (defender-events.csv), C:\ProgramData\Intel\igfx.exe 09:33:15'te yazıldı ve gölge kopyalar 09:40:05'te silindi. 09:41:33 ile 09:54:58 UTC arasında C: üzerindeki 295 dosyanın içeriği değiştirildi ve adları .kilit uzantısıyla değiştirildi; 15 klasörde bir not oluşturuldu (usn-journal.csv). Notlar Sysmon tarafından igfx.exe'ye bağlanır; yeniden adlandırmalar ona zamanlamayla bağlanır. igfx.exe 09:55:06'da 192.0.2.20:445'e bağlandı. Dosya sunucusu toplanmadı; \\KZL-FS02\Muhasebe üzerindeki dosyaların değişip değişmediği bu paketten söylenemez.

Rapor anatomisi ve güven ölçeği →