Это третья часть материала, посвящённого реагированию на инциденты ИБ в Windows. Вторая часть была посвящена изоляции хоста и разбору процессов и служб. В этой части — проверяем ещё две частые точки закрепления, задачи планировщика и автозапуск через реестр, смотрим на локальные учётные записи и группы, и наконец садимся за журналы событий, чтобы связать разрозненные находки в единую хронологию. Здесь же выводы из демонстрационной лабы складываются в цельную картину атаки. Читать далее